Verwerkersovereenkomst

Deze verwerkersovereenkomst hoort bij de overeenkomst voor het gebruik van Online MS en bij onze algemene voorwaarden. Zij regelt hoe wij persoonsgegevens verwerken die u als klant in Online MS opslaat. De overeenkomst voldoet aan artikel 28 van de Algemene Verordening Gegevensbescherming (AVG).

1. Partijen en rollen

• Verwerker: WE Management International B.V., Grenulaan 40, 4531 AC Terneuzen, KvK 67012205 (hierna: "wij").
• Verwerkingsverantwoordelijke: de klant die een overeenkomst voor Online MS heeft (hierna: "u").

U bepaalt waarom en hoe persoonsgegevens in Online MS worden verwerkt. Wij verwerken ze alleen namens u. U accepteert deze overeenkomst bij het sluiten van het contract voor Online MS of in de applicatie. Wij leggen vast wie namens u heeft geaccepteerd, wanneer, en welke versie.

2. Onderwerp en duur

Wij verwerken persoonsgegevens om Online MS aan u te leveren: de webapplicatie, de mobiele app, koppelingen, AI-functies (als die aan staan) en ondersteuning. Deze overeenkomst geldt zolang wij persoonsgegevens voor u verwerken. Zij eindigt dus niet eerder dan het moment waarop alle gegevens zijn teruggegeven of verwijderd (zie artikel 12).

3. Aard en doel van de verwerking

Wij slaan gegevens op, tonen ze, ordenen, kopiëren (back-ups), versturen meldingen en e-mails, maken rapportages en exports, en voeren — alleen als u dat aanzet — AI-analyses uit. Het doel is uitsluitend het leveren, beveiligen, onderhouden en ondersteunen van Online MS. Wij gebruiken uw gegevens niet voor eigen doeleinden en niet om AI-modellen te trainen.

4. Soorten gegevens en betrokkenen

Betrokkenen

• gebruikers van uw omgeving;
• uw medewerkers, inhuurkrachten en ingehuurde onderaannemers;
• bezoekers, getuigen en andere personen die voorkomen in registraties, zoals incident- of inspectiemeldingen.

Gegevens

• naam, functie, organisatie, e-mailadres en telefoonnummer;
• inloggegevens, rollen, rechten en logbestanden van gebruik (zoals IP-adres en tijdstip);
• inhoud van formulieren, documenten, taken, acties en bijlagen (zoals foto's en handtekeningen);
• gegevens over opleidingen, certificaten en bevoegdheden;
• mogelijk gezondheidsgegevens, bijvoorbeeld in incident-, ongevallen- of verzuimregistraties.

U bepaalt zelf welke gegevens u vastlegt. Leg bijzondere persoonsgegevens, zoals gezondheidsgegevens, alleen vast als daar een wettelijke grondslag voor is, en beperk de toegang ertoe met de rechten in Online MS.

5. Instructies

Wij verwerken persoonsgegevens alleen op basis van uw schriftelijke instructies. Deze overeenkomst, de algemene voorwaarden en de instellingen die u in Online MS kiest, gelden als die instructies. Verplicht de wet ons tot een andere verwerking, dan laten wij u dat vooraf weten, tenzij de wet dat verbiedt. Vinden wij dat een instructie in strijd is met de AVG, dan melden wij dat direct.

6. Geheimhouding

Iedereen die bij ons of bij een subverwerker toegang heeft tot uw gegevens, is tot geheimhouding verplicht. Toegang krijgen alleen mensen die dat voor hun werk nodig hebben.

7. Beveiligingsmaatregelen

Wij nemen passende technische en organisatorische maatregelen. Op dit moment zijn dat in elk geval:

• versleutelde verbindingen (TLS) met HSTS;
• wachtwoorden worden alleen gehasht opgeslagen;
• toegangstokens voor koppelingen (zoals Google en Microsoft) worden versleuteld opgeslagen;
• scheiding van klantomgevingen (tenant-isolatie), gecontroleerd met geautomatiseerde tests;
• rollen en rechten per gebruiker, en rechten per document en formulier;
• tweestapsverificatie (2FA) voor gebruikers;
• beheertoegang tot servers en database alleen voor een beperkt aantal bevoegde personen;
• back-ups van de database elke 15 minuten, opgeslagen op aparte opslag binnen de EU;
• foutmonitoring via Sentry met opslag in de EU;
• regelmatige updates van software en gebruikte bibliotheken;
• een vaste procedure voor het melden en afhandelen van datalekken.

Wij mogen deze maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

8. Subverwerkers

U geeft ons algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat op https://online-ms.io/subverwerkers. Met elke subverwerker sluiten wij afspraken die minstens even streng zijn als deze overeenkomst.

Voegen wij een subverwerker toe of vervangen wij er een, dan laten wij u dat vooraf weten. U kunt binnen 30 dagen na die melding met redenen bezwaar maken. Komen wij er samen niet uit, dan mag u het abonnement opzeggen per de datum waarop de wijziging ingaat.

Koppelt u zelf een AI-assistent aan uw omgeving, zoals ChatGPT of Claude via de MCP-koppeling, dan kiest u die assistent zelf en valt die onder uw eigen contract met de aanbieder ervan. Het is geen subverwerker van ons. Maak met die aanbieder zelf de nodige afspraken.

9. Datalekken

Ontdekken wij een inbreuk op de beveiliging die uw persoonsgegevens raakt (een datalek), dan melden wij dat zonder onredelijke vertraging aan u, en in elk geval binnen 48 uur nadat wij het hebben ontdekt. Wij geven daarbij alle informatie die u nodig hebt om het lek zo nodig te melden bij de Autoriteit Persoonsgegevens en aan betrokkenen. Wij nemen direct maatregelen om de gevolgen te beperken en houden u op de hoogte. U blijft zelf verantwoordelijk voor het melden aan de toezichthouder en betrokkenen.

10. Hulp bij rechten van betrokkenen en DPIA

Online MS bevat functies om gegevens in te zien, aan te passen, te exporteren en te verwijderen. Kunt u een verzoek van een betrokkene (bijvoorbeeld om inzage of verwijdering) niet zelf afhandelen, dan helpen wij u. Krijgen wij zo'n verzoek rechtstreeks, dan sturen wij het door naar u. Ook helpen wij, binnen redelijke grenzen, bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij vragen van de toezichthouder. Kost die hulp meer dan een paar uur, dan mogen wij de redelijke kosten in rekening brengen, na overleg vooraf.

11. Audits

U mag eenmaal per jaar laten controleren of wij ons aan deze overeenkomst houden. Dit recht staat erin omdat de AVG (artikel 28, lid 3, onder h) het in elke verwerkersovereenkomst verplicht: u blijft verantwoordelijk voor de gegevens en moet dus kunnen nagaan dat wij ze goed beschermen. Kondig de audit minstens 30 dagen vooraf schriftelijk aan. De audit wordt uitgevoerd door uzelf of door een onafhankelijke deskundige met geheimhoudingsplicht, tijdens kantooruren en zonder de dienst voor andere klanten te verstoren. De kosten zijn voor u. Wij mogen eerst een recent auditrapport of certificaat aanbieden als dat de vragen beantwoordt. Blijkt uit de audit dat wij tekortschieten, dan herstellen wij dat op onze kosten.

12. Einde: teruggeven en verwijderen

Na het einde van het abonnement kunt u gedurende 30 dagen uw gegevens exporteren of een export bij ons aanvragen. Uiterlijk 60 dagen na het einde verwijderen wij alle persoonsgegevens, tenzij de wet ons verplicht ze langer te bewaren. Kopieën in back-ups worden overschreven volgens de vaste back-upcyclus en zijn tot die tijd niet in gebruik. Op verzoek bevestigen wij de verwijdering schriftelijk.

13. Doorgifte buiten de EER

Wij slaan uw gegevens op in de Europese Unie. Geven wij of een subverwerker gegevens door naar een land buiten de Europese Economische Ruimte, dan gebeurt dat alleen met een geldige waarborg: de standaardcontractbepalingen (SCC) van de Europese Commissie en/of het EU-US Data Privacy Framework (DPF), zo nodig met aanvullende maatregelen. Welke waarborg per subverwerker geldt, staat op de pagina subverwerkers.

14. Aansprakelijkheid

Voor de aansprakelijkheid onder deze overeenkomst geldt de regeling in artikel 12 van de algemene voorwaarden. Boetes van een toezichthouder die het gevolg zijn van uw eigen handelen of instructies komen voor uw rekening.

15. Rangorde, wijzigingen en toepasselijk recht

Gaat deze verwerkersovereenkomst over persoonsgegevens en staat er iets anders in de algemene voorwaarden, dan geldt deze overeenkomst. Wijzigen wij deze overeenkomst wezenlijk, dan maken wij dat minstens 30 dagen vooraf bekend en vragen wij een beheerder van uw omgeving om de nieuwe versie te accepteren. Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement Zeeland-West-Brabant.

16. Contact

Vragen over privacy of deze overeenkomst? Mail naar info@we-management.com. Een datalek of beveiligingsprobleem melden: info@we-management.com.