Verwerkersovereenkomst

Deze verwerkersovereenkomst geldt tussen de klant, als verwerkingsverantwoordelijke, en Ulixes Consulting, als verwerker, voor de persoonsgegevens die de klant en zijn gebruikers in Lisso invoeren. Ze maakt deel uit van de algemene voorwaarden. Begrippen die daar gedefinieerd zijn, hebben hier dezelfde betekenis.

1. Onderwerp en duur

Deze overeenkomst legt vast hoe we persoonsgegevens verwerken in opdracht van de klant wanneer we Lisso leveren. Ze geldt zolang we zulke gegevens voor de klant verwerken, en dus minstens zolang de overeenkomst onder de algemene voorwaarden loopt.

2. Aard en doel van de verwerking

We verwerken persoonsgegevens alleen om Lisso te leveren: de klant helpen zijn leveranciers en producten te beheren, bestellingen voor te bereiden, ze naar zijn leveranciers te sturen en hun geschiedenis te bewaren. Dat omvat het opslaan, ordenen, tonen en versturen van de gegevens, het maken van back-ups en het ondersteunen van de klant.

3. Soorten persoonsgegevens

Gebruikers: naam, e-mailadres, inlog- en beveiligingsgegevens (wachtwoord gehasht opgeslagen, gegevens van tweestapsverificatie en passkeys), voorkeuren zoals de taal.
Sessies: IP-adres en browser van actieve sessies.
Contactpersonen bij leveranciers: naam, e-mailadres, telefoonnummer.
Bestellingen: inhoud en geschiedenis van bestellingen, met de namen van de gebruikers die ze aanmaakten, wijzigden, verstuurden of bevestigden.

4. Categorieën van betrokkenen

Het personeel en de andere gebruikers van Lisso bij de klant.
Contactpersonen bij de leveranciers van de klant.

5. Onze verplichtingen als verwerker

Wij:

verwerken de persoonsgegevens alleen op gedocumenteerde instructies van de klant, zoals vastgelegd in de algemene voorwaarden, deze overeenkomst en het gebruik dat de klant van Lisso maakt, tenzij de wet iets anders oplegt; in dat geval brengen we de klant eerst op de hoogte, tenzij de wet dat verbiedt;
laten de klant weten als we menen dat een instructie in strijd is met de AVG of andere regels inzake gegevensbescherming;
zorgen ervoor dat de personen die toegang hebben tot de persoonsgegevens tot geheimhouding verplicht zijn;
nemen passende technische en organisatorische beveiligingsmaatregelen (zie punt 8);
helpen de klant, voor zover redelijkerwijs mogelijk, om te antwoorden op verzoeken van betrokkenen die hun rechten uitoefenen;
helpen de klant bij gegevensbeschermingseffectbeoordelingen, voorafgaande raadplegingen en de afhandeling van inbreuken in verband met persoonsgegevens, rekening houdend met de aard van de verwerking en de informatie waarover we beschikken;
melden een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging [en binnen ... uur] nadat we er kennis van kregen, met de informatie die op dat moment beschikbaar is.

6. Subverwerkers

De klant geeft ons een algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat op de pagina subverwerkers.

We brengen de klant vooraf op de hoogte van elke geplande toevoeging of vervanging van een subverwerker. De klant kan op redelijke gronden bezwaar maken tegen de wijziging. Kunnen we niet aan het bezwaar tegemoetkomen, dan kan de klant de overeenkomst opzeggen voor de wijziging ingaat.

We leggen elke subverwerker dezelfde verplichtingen inzake gegevensbescherming op als in deze overeenkomst, en blijven tegenover de klant verantwoordelijk voor hun naleving.

7. Doorgiften

We verwerken de persoonsgegevens in de Europese Unie of de Europese Economische Ruimte. We geven geen persoonsgegevens door buiten de EER zonder passende waarborgen zoals de AVG die vereist.

8. Beveiligingsmaatregelen

De volgende maatregelen zijn van kracht:

al het verkeer van en naar Lisso is versleuteld met HTTPS (TLS);
wachtwoorden worden gehasht opgeslagen, nooit in leesbare vorm;
gebruikers kunnen tweestapsverificatie inschakelen en passkeys gebruiken;
de gegevens van elke vestiging zijn strikt gescheiden: dat wordt in de database zelf afgedwongen en met geautomatiseerde tests gecontroleerd;
de toegang binnen Lisso is gebaseerd op rollen per vestiging (eigenaar, verantwoordelijke, medewerker);
de toegang door personeel van Ulixes Consulting is beperkt tot wat nodig is om de dienst te laten werken en te ondersteunen;
de servers worden gehost bij Hetzner in [nog in te vullen];
van de database worden back-ups gemaakt [frequentie en bewaartermijn van back-ups nog vast te leggen].

We mogen deze maatregelen bijwerken, zolang het beveiligingsniveau niet daalt.

9. Audits

Op verzoek bezorgen we de klant de informatie die nodig is om aan te tonen dat we deze overeenkomst naleven. De klant mag een audit laten uitvoeren, op eigen kosten, na een redelijke aankondiging, tijdens de kantooruren en zonder onze werking onnodig te verstoren. De auditor is tot geheimhouding verplicht.

10. Einde van de verwerking

Bij het einde van de overeenkomst verwijderen of bezorgen we de persoonsgegevens terug, naar keuze van de klant, binnen [termijn], tenzij de wet ons verplicht ze te bewaren.

11. Aansprakelijkheid

Voor de aansprakelijkheid onder deze overeenkomst geldt het artikel over aansprakelijkheid in de algemene voorwaarden.

Een ondertekende pdf-versie van deze overeenkomst is op verzoek beschikbaar. Schrijf naar [nog in te vullen].