Deze verwerkersovereenkomst maakt deel uit van de overeenkomst tussen ProConnectR en het Vakbedrijf en geldt als de overeenkomst bedoeld in artikel 28 lid 3 AVG. Zij is tevens Bijlage B bij de gebruiksovereenkomst.
Partijen en rolverdeling
Verwerkingsverantwoordelijke - het Vakbedrijf, voor de persoonsgegevens van zijn Klanten die via de Dienst worden verwerkt ten behoeve van het aanbieden en afwikkelen van Betaalverzoeken.
Verwerker - New Start B.V., handelend onder de namen ProConnectR en AfterTab, voor diezelfde verwerkingen.
Voor de volgende verwerkingen bepaalt ProConnectR zelf het doel en de middelen en is zij zelfstandig verwerkingsverantwoordelijke, niet verwerker:
- het voorkomen, opsporen en onderzoeken van misbruik en fraude, en het op grond daarvan opschorten van de Dienst;
- het vastleggen van gebeurtenissen in het onveranderlijke logboek ten behoeve van de eigen verantwoording en bewijspositie van ProConnectR;
- de beveiliging van de Dienst en het onderzoeken van beveiligingsincidenten;
- de naleving van op ProConnectR rustende wettelijke verplichtingen, waaronder de fiscale bewaarplicht;
- het gebruik van geaggregeerde, niet tot een persoon herleidbare gegevens ten behoeve van de werking en verbetering van de Dienst.
Partijen zijn geen gezamenlijke verwerkingsverantwoordelijken in de zin van artikel 26 AVG. Zij hebben die mogelijkheid uitdrukkelijk beoordeeld en verworpen, omdat zij het doel en de middelen van de hierboven onderscheiden verwerkingen niet gezamenlijk bepalen.
De Betaaldienstverlener en de aanbieder van gespreid betalen zijn ten aanzien van hun eigen verwerkingen zelfstandig verwerkingsverantwoordelijke. Zij zijn geen subverwerker van ProConnectR.
Onderwerp en duur
ProConnectR verwerkt persoonsgegevens uitsluitend ten behoeve van de uitvoering van de Dienst: het aanmaken en aanbieden van Betaalverzoeken namens het Vakbedrijf, het volgen van de status daarvan, het aanstoten van terugbetalingen op instructie van het Vakbedrijf, en het beschikbaar stellen van overzichten aan het Vakbedrijf.
Deze verwerkersovereenkomst geldt zolang de overeenkomst tussen ProConnectR en het Vakbedrijf van kracht is, en daarna zolang ProConnectR nog persoonsgegevens onder zich heeft.
Categorieën gegevens en betrokkenen
Betrokkenen: de Klanten van het Vakbedrijf, en de medewerkers van het Vakbedrijf die van de Dienst gebruikmaken.
Categorieën gegevens van Klanten:
- naam en contactgegevens (e-mailadres en, indien opgegeven, telefoonnummer);
- gegevens over de Opdracht: referentie, omschrijving, bedrag, status en datum van oplevering;
- betaalgegevens: gekozen betaalmethode, status van de betaling, transactiekenmerk en tijdstip;
- gegevens over herroeping en terugbetaling;
- bij gespreid betalen aanvullend: voornaam, achternaam, straat, huisnummer, postcode en woonplaats.
De adresgegevens worden uitsluitend verzameld wanneer de Klant voor gespreid betalen kiest, omdat de aanbieder daarvan die nodig heeft voor de beoordeling en uitvoering van de kredietaanvraag. Zij worden niet verzameld bij een betaling via iDEAL of kaart.
ProConnectR verwerkt geen bijzondere categorieën persoonsgegevens als bedoeld in artikel 9 AVG en geen burgerservicenummers.
Categorieën gegevens van medewerkers van het Vakbedrijf: naam, e-mailadres, rol en toegangsrechten, en gegevens over gebruik van de Dienst, waaronder wie welke handeling wanneer heeft verricht.
Instructies
ProConnectR verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van het Vakbedrijf, waaronder deze verwerkersovereenkomst en het gebruik van de functies van de Dienst.
Is ProConnectR op grond van Unierecht of Nederlands recht tot een verwerking verplicht, dan stelt zij het Vakbedrijf daarvan vooraf op de hoogte, tenzij dat recht die kennisgeving verbiedt.
ProConnectR stelt het Vakbedrijf onverwijld op de hoogte indien een instructie naar haar oordeel in strijd is met de AVG of andere wetgeving over gegevensbescherming.
Personen die onder gezag van ProConnectR toegang hebben tot de persoonsgegevens, zijn tot geheimhouding verplicht.
Beveiliging
ProConnectR treft passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG. Daaronder vallen in ieder geval:
- versleuteling van gegevens tijdens transport en in opslag;
- toegangsbeheer op basis van rollen, waarbij medewerkers alleen toegang hebben tot wat zij voor hun taak nodig hebben;
- vastlegging van elke handeling die geld raakt, met wie die verrichtte en wanneer, in een onveranderlijk logboek;
- meerfactorauthenticatie voor beheerderstoegang tot de systemen waarin persoonsgegevens worden verwerkt;
- dagelijkse back-ups van de database bij de hostingpartij, waarbij herstel na een incident zo spoedig mogelijk en uiterlijk binnen één werkdag plaatsvindt;
- periodieke beoordeling van de Dienst op kwetsbaarheden; een externe beveiligingstest wordt uitgevoerd zodra de omvang van de dienstverlening daartoe aanleiding geeft.
Het Vakbedrijf is verantwoordelijk voor het beheer van de toegangsrechten binnen zijn eigen organisatie en voor zorgvuldig gebruik van inloggegevens.
Subverwerkers
ProConnectR schakelt de subverwerkers in die staan vermeld op de pagina Subverwerkers. Het Vakbedrijf verleent daarvoor toestemming.
ProConnectR legt aan elke subverwerker dezelfde verplichtingen op als in deze verwerkersovereenkomst zijn opgenomen, en blijft jegens het Vakbedrijf verantwoordelijk voor de nakoming daarvan.
Wil ProConnectR een subverwerker toevoegen of vervangen, dan kondigt zij dat ten minste dertig dagen vooraf aan per e-mail aan het bij haar bekende adres van het Vakbedrijf. Het Vakbedrijf kan binnen die termijn gemotiveerd bezwaar maken. Komen partijen er niet uit, dan kan het Vakbedrijf de overeenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder kosten en zonder inachtneming van de gebruikelijke opzegtermijn.
Verwerking vindt plaats binnen de Europese Economische Ruimte.
Rechten van betrokkenen
Ontvangt ProConnectR een verzoek van een Klant tot inzage, rectificatie, wissing, beperking, overdraagbaarheid of bezwaar, dan verwijst zij die Klant naar het Vakbedrijf en stelt zij het Vakbedrijf daarvan onverwijld op de hoogte.
ProConnectR verleent het Vakbedrijf, rekening houdend met de aard van de verwerking, de bijstand die redelijkerwijs nodig is om aan zulke verzoeken te voldoen.
Wissing en het onveranderlijke logboek. De administratie van ProConnectR berust op een gebeurtenissenlogboek dat niet kan worden gewijzigd of verwijderd. Persoonsgegevens worden buiten dat logboek gehouden en in een afzonderlijke, wel muteerbare laag opgeslagen, waarnaar het logboek uitsluitend met een kenmerk verwijst. Een verzoek tot wissing wordt uitgevoerd door verwijdering uit die laag, waarna het logboek de gebeurtenis nog wel vastlegt maar niet meer tot een persoon herleidbaar is. Bedragen, tijdstippen en de boekhoudkundige samenhang blijven daarbij intact.
Gegevens die ProConnectR op grond van een wettelijke bewaarplicht moet bewaren, worden niet gewist zolang die plicht duurt.
Datalekken
Krijgt ProConnectR kennis van een inbreuk in verband met persoonsgegevens, dan stelt zij het Vakbedrijf daarvan onverwijld en uiterlijk binnen 24 uur op de hoogte.
De melding bevat, voor zover bekend, de aard van de inbreuk, de betrokken categorieën en het aantal betrokkenen, de waarschijnlijke gevolgen, de getroffen en voorgenomen maatregelen, en de contactgegevens voor nadere informatie. Ontbreekt informatie, dan volgt die zodra zij beschikbaar is.
Het Vakbedrijf beoordeelt als verwerkingsverantwoordelijke of melding aan de Autoriteit Persoonsgegevens of aan betrokkenen nodig is. ProConnectR verleent daarbij de redelijkerwijs benodigde medewerking. ProConnectR doet zelf geen melding namens het Vakbedrijf, tenzij partijen dat per geval afspreken.
Meldingen gaan naar het bij ProConnectR bekende e-mailadres van het Vakbedrijf en, in de andere richting, naar support@proconnectr.nl.
Audit
ProConnectR stelt het Vakbedrijf op verzoek de informatie ter beschikking die nodig is om de nakoming van deze verwerkersovereenkomst aan te tonen.
Het Vakbedrijf kan ten hoogste eenmaal per jaar een audit laten uitvoeren door een onafhankelijke, aan geheimhouding gebonden deskundige, na een aankondiging van ten minste dertig dagen. Bij een concreet vermoeden van een tekortkoming of na een datalek kan dat vaker.
Een audit verstoort de bedrijfsvoering van ProConnectR zo min mogelijk en raakt niet aan gegevens van andere klanten van ProConnectR. De kosten komen voor rekening van het Vakbedrijf, tenzij uit de audit een wezenlijke tekortkoming blijkt; in dat geval draagt ProConnectR de redelijke kosten en herstelt zij de tekortkoming binnen een redelijke termijn.
Teruggave en verwijdering
Op verzoek van het Vakbedrijf stelt ProConnectR binnen dertig dagen na het einde van de overeenkomst een export van de transactiegegevens beschikbaar in een gangbaar, machineleesbaar bestandsformaat.
Daarna verwijdert ProConnectR de persoonsgegevens, behoudens gegevens die zij op grond van een wettelijke bewaarplicht moet bewaren. Voor de administratie geldt de fiscale bewaarplicht van zeven jaar (artikel 52 AWR).
Tijdens de looptijd gelden de volgende bewaartermijnen. Contactgegevens van een Klant worden bewaard zolang de Opdracht loopt en daarna zolang dat voor de afwikkeling van terugbetalingen en geschillen nodig is. Adresgegevens die voor gespreid betalen zijn verzameld, worden verwijderd zodra de Opdracht volledig is afgewikkeld en de herroepingstermijn is verstreken; kiest de Klant uiteindelijk niet voor gespreid betalen, dan worden zij niet bewaard. Gegevens over Opdrachten en betalingen vallen onder de fiscale bewaarplicht van zeven jaar. Deze termijnen komen overeen met de privacyverklaring.
Op verzoek verstrekt ProConnectR een schriftelijke bevestiging van de verwijdering.
Aansprakelijkheid
Ieder van partijen is verantwoordelijk voor de nakoming van haar eigen verplichtingen onder de AVG.
Wordt een van partijen aangesproken op grond van artikel 82 AVG, dan verhalen partijen onderling naar rato van ieders aandeel in de schade. Aansprakelijkheid jegens betrokkenen op grond van artikel 82 AVG kan tussen partijen niet worden uitgesloten of beperkt.
De aansprakelijkheidsbeperking uit de algemene voorwaarden geldt niet voor schending van deze verwerkersovereenkomst.