Verwerkersovereenkomst (DPA)

Deze Verwerkersovereenkomst («DPA») vult de Algemene voorwaarden aan tussen Design Web Multimedia Agency, Piazza Roma 82, 22066, Mariano Comense (IT), btw 04018830135 (de «Verwerker») en de Klant die in het account is vermeld (de «Verantwoordelijke»), overeenkomstig artikel 28 van Verordening (EU) 2016/679 («AVG»). Zij is van toepassing op de persoonsgegevens die de Verantwoordelijke in de Dienst invoert en die de Verwerker namens hem verwerkt.

1. Onderwerp, aard en doeleinden

De Verwerker levert de Verantwoordelijke een online bedrijfsbeheerder. Daarvoor bewaart, ordent, bewerkt, toont, exporteert en verwijdert zij de gegevens die de Verantwoordelijke en zijn gebruikers invoeren, en stuurt zij ze door naar de diensten van derden die de Verantwoordelijke aan zijn account koppelt (bijvoorbeeld e-mail, elektronische handtekening, betalingen, e-facturatie). Het doel is uitsluitend het leveren van de Dienst volgens de Voorwaarden en de gedocumenteerde instructies van de Verantwoordelijke.

2. Duur

De DPA duurt zolang de dienstverleningsovereenkomst en blijft gelden zolang de Verwerker gegevens van de Verantwoordelijke bewaart (artikel 9).

3. Categorieën van gegevens en betrokkenen

• Betrokkenen: klanten, potentiële klanten, leveranciers, medewerkers en personeel van de Verantwoordelijke, gebruikers van het klantenportaal, contactpersonen, gebruikers van het account.
• Gegevens: identificatie- en contactgegevens, fiscale nummers en btw-nummers, adressen, gegevens van commerciële en boekhoudkundige documenten (offertes, facturen, betalingen, uitgaven, contracten), berichten en bijlagen, gewerkte uren, inloggegevens van gebruikers. De Verantwoordelijke mag geen bijzondere categorieën van gegevens (art. 9 AVG) of gegevens over strafrechtelijke veroordelingen invoeren, tenzij strikt noodzakelijk, en is daarvoor verantwoordelijk als hij dat toch doet.

4. Verplichtingen van de Verwerker

1. Verwerkt de gegevens alleen op gedocumenteerde instructies van de Verantwoordelijke; de Voorwaarden, deze DPA en de instellingen van de Dienst zijn de volledige instructies. Meent zij dat een instructie de regelgeving schendt, dan informeert zij de Verantwoordelijke.
2. Waarborgt dat de personen die bevoegd zijn de gegevens te verwerken gebonden zijn aan geheimhouding.
3. Neemt de beveiligingsmaatregelen van Bijlage A.
4. Voldoet aan de voorwaarden van artikel 5 voor subverwerkers.
5. Staat de Verantwoordelijke met passende technische en organisatorische maatregelen bij in het beantwoorden van verzoeken van betrokkenen: de Dienst maakt het mogelijk gegevens in te zien, te corrigeren, te exporteren en te verwijderen; voor wat niet zelfstandig kan werkt de Verwerker op verzoek mee.
6. Staat de Verantwoordelijke bij in de verplichtingen inzake beveiliging, melding van inbreuken, gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging, rekening houdend met de aard van de verwerking en de informatie waarover zij beschikt.
7. Meldt aan de Verantwoordelijke inbreuken op persoonsgegevens zonder onredelijke vertraging en in ieder geval binnen 48 uur na ontdekking, met de beschikbare informatie.
8. Stelt op verzoek de informatie ter beschikking die nodig is om de naleving van de DPA aan te tonen en staat redelijke audits toe, met een opzegtermijn van ten minste 30 dagen, tijdens werkuren en zonder de veiligheid of de gegevens van andere klanten in gevaar te brengen; de audit kan ook plaatsvinden aan de hand van documentatie of verslagen van derden.

5. Subverwerkers

De Verantwoordelijke geeft algemene toestemming voor het inschakelen van subverwerkers. Degene die in gebruik zijn staan in Bijlage B. De Verwerker informeert de Verantwoordelijke over toevoegingen of vervangingen met ten minste 30 dagen opzegtermijn (e-mail of melding in het account); de Verantwoordelijke kan om redelijke redenen met betrekking tot gegevensbescherming bezwaar maken en, als er geen oplossing wordt gevonden, de overeenkomst opzeggen met terugbetaling van het betaalde maar niet genoten deel van de periode. De Verwerker legt de subverwerkers verplichtingen op die gelijkwaardig zijn aan deze DPA en blijft jegens de Verantwoordelijke aansprakelijk voor hun handelen.

Diensten die de Verantwoordelijke zelf kiest en koppelt (bijvoorbeeld zijn eigen Stripe-account, een dienst voor elektronische handtekening, e-factuursoftware, cloudopslag) zijn geen subverwerkers van de Verwerker: de Verantwoordelijke schakelt ze rechtstreeks in en beslist welke gegevens hij hun stuurt.

6. Doorgifte buiten de EER

De Verwerker geeft geen gegevens door buiten de Europese Economische Ruimte, tenzij op basis van een adequaatheidsbesluit of modelcontractbepalingen, met eventuele aanvullende maatregelen. De lijst van doorgiften staat in Bijlage B.

7. Verplichtingen van de Verantwoordelijke

De Verantwoordelijke garandeert dat hij een rechtsgrond heeft voor de gegevens die hij invoert, dat hij de betrokkenen heeft geïnformeerd, dat hij de Dienst gebruikt met inachtneming van de wet en dat hij de inloggegevens van de gebruikers veilig beheert. Hij blijft verantwoordelijk voor de juistheid van de gegevens en voor de keuze van de diensten van derden die hij koppelt.

8. Export en teruggave

De Verantwoordelijke kan op elk moment alle gegevens (tabellen, uitgegeven documenten, bijlagen) exporteren via het gedeelte Account en gegevens. Bij het einde van de overeenkomst geldt de periode van alleen exporteren waarin de Voorwaarden voorzien.

9. Verwijdering

Na de sluiting van het account en aan het einde van de in de Voorwaarden vermelde bewaartermijn (10 dagen) verwijdert of anonimiseert de Verwerker de gegevens van de Verantwoordelijke en de bijbehorende kopieën, tenzij het Unierecht of het nationale recht bewaring voorschrijft. Op verzoek bevestigt zij de verwijdering schriftelijk.

10. Aansprakelijkheid

Elke partij is aansprakelijk volgens de AVG. Voor de verhouding tussen de partijen gelden de aansprakelijkheidsbeperkingen van de Voorwaarden, behalve aansprakelijkheid die de wet niet toestaat te beperken.

11. Recht en bevoegde rechter

De DPA wordt beheerst door Italiaans recht; de in de Voorwaarden bepaalde bevoegde rechter is van toepassing.

Bijlage A — Technische en organisatorische beveiligingsmaatregelen

• Scheiding van gegevens: een eigen database voor elk account; geen gedeelde tabellen tussen klanten; de toegang van de Dienst wordt bepaald aan de hand van het domein en niet van gegevens die de client aanlevert.
• Toegangsbeheer: rollen en rechten per handeling; wachtwoorden bewaard met hash; verificatie in twee stappen (authenticator-app) en passkeys; herstelcodes voor eenmalig gebruik; verplichte verificatie in twee stappen voor beheerders volgens het beleid van het account; geregistreerde, zichtbare en intrekbare sessies met een maximale duur; frequentielimieten op inlogpogingen.
• Versleuteling: geheimen van gekoppelde diensten (api-sleutels, smtp-wachtwoorden, tokens) versleuteld in de database met een geauthenticeerd algoritme (AES-256-GCM); versleutelde verbindingen (HTTPS/TLS) met beveiligde sessiecookie.
• Registratie en bewaking: logboek van de beveiligingsgebeurtenissen van het account (inloggen, beveiligingswijzigingen, exports) met instelbare bewaartermijn; logboek van handelingen op documenten.
• Integriteit van documenten: uitgegeven fiscale documenten zijn onveranderlijk; correcties gebeuren met bijgehouden creditnota's.
• Applicatie: bescherming tegen misleidende verzoeken (CSRF-token), controle van het bestandstype op de werkelijke inhoud, escaping van uitvoer, controle van de bestemmingen van uitgaande koppelingen (webhooks) tegen toegang tot interne netwerken.
• Export en verwijdering: volledige export van gegevens uit de Dienst; sluiting in twee stappen; verwijdering volgens artikel 9.
• Organisatie: toegang van medewerkers tot klantgegevens beperkt tot wat nodig is voor ondersteuning en onderhoud, met geheimhoudingsplicht.

Bijlage B — Subverwerkers en doorgiften

Subverwerker	Dienst	Locatie / waarborgen
IONOS SE	Servers en infrastructuur waarop de Dienst en de databases draaien	Spain
Google Ireland Limited	Verzending van de e-mails van de Dienst	EU; eventuele doorgiften onder de waarborgen van Google (modelcontractbepalingen / DPF)
Cloudflare, Inc.	Anti-botcontrole (Turnstile) op het inschrijfformulier	Modelcontractbepalingen / DPF
Stripe Payments Europe Ltd.	Inning van de vergoedingen voor de Dienst (gegevens van alleen de Verantwoordelijke als klant van de Leverancier)	EU; doorgiften volgens de waarborgen van Stripe