Verwerkersovereenkomst
Deze verwerkersovereenkomst maakt deel uit van de algemene voorwaarden van Pagebase. Ze geldt voor elke klant die met Pagebase persoonsgegevens van zijn eigen klanten, bezoekers of contacten verwerkt, bijvoorbeeld met een webshop, klantaccounts, een nieuwsbrief of formulieren.
Partijen
De klant van Pagebase die met Pagebase persoonsgegevens van zijn eigen klanten, bezoekers of contacten verwerkt ("de Verantwoordelijke"), en Damiën Sluijter, handelend onder de naam Versa Web Solutions, Sint-Luciestraat 5, 3631 Uikhoven (Maasmechelen), België, ondernemings- en btw-nummer BE 1027.741.625, uitbater van Pagebase ("de Verwerker").
Artikel 1 · Onderwerp en duur
De Verwerker verwerkt persoonsgegevens in opdracht van de Verantwoordelijke om de diensten van Pagebase te leveren, zoals beschreven in Bijlage 1. Deze overeenkomst geldt zolang de Verantwoordelijke Pagebase gebruikt, en daarna tot alle gegevens verwijderd of teruggegeven zijn.
Artikel 2 · Instructies
De Verwerker verwerkt de persoonsgegevens alleen volgens de schriftelijke instructies van de Verantwoordelijke. Het gebruik van Pagebase zoals de Verantwoordelijke het instelt, geldt als instructie. De Verwerker gebruikt de gegevens niet voor eigen doeleinden. Vindt de Verwerker dat een instructie de AVG schendt, dan meldt hij dat meteen.
Artikel 3 · Vertrouwelijkheid
Alleen wie de gegevens nodig heeft voor de dienst (onderhoud, support, beveiliging) krijgt toegang, en is tot geheimhouding verplicht. Meekijken in een account voor support wordt gelogd.
Artikel 4 · Beveiliging
De Verwerker neemt passende technische en organisatorische maatregelen, beschreven in Bijlage 2, en houdt ze bij volgens de stand van de techniek.
Artikel 5 · Subverwerkers
De Verantwoordelijke geeft algemene toestemming om de subverwerkers in Bijlage 3 in te schakelen. De Verwerker meldt een nieuwe of andere subverwerker minstens 30 dagen vooraf per e-mail; de Verantwoordelijke kan binnen die termijn met redenen bezwaar maken en, als er geen oplossing is, de dienst opzeggen. De Verwerker legt elke subverwerker dezelfde verplichtingen op als in deze overeenkomst.
Artikel 6 · Doorgifte buiten de EER
Gegevens worden alleen buiten de Europese Economische Ruimte verwerkt als daar een geldige grond voor is, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie (zie Bijlage 3).
Artikel 7 · Rechten van betrokkenen
De Verwerker helpt de Verantwoordelijke om verzoeken van betrokkenen (inzage, verbetering, verwijdering, overdraagbaarheid, bezwaar) te beantwoorden, onder meer met de functies in Pagebase om gegevens te bekijken, aan te passen, te exporteren en te verwijderen. Een verzoek dat rechtstreeks bij de Verwerker binnenkomt, stuurt hij door naar de Verantwoordelijke.
Artikel 8 · Datalekken
De Verwerker meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat hij ze ontdekte, met de informatie die nodig is om ze te beoordelen en waar nodig te melden aan de Gegevensbeschermingsautoriteit en de betrokkenen. De Verwerker neemt meteen maatregelen om de gevolgen te beperken.
Artikel 9 · Bijstand
De Verwerker helpt de Verantwoordelijke, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling en een voorafgaande raadpleging van de toezichthouder.
Artikel 10 · Einde
Bij het einde van de dienst kan de Verantwoordelijke zijn gegevens exporteren. Daarna verwijdert de Verwerker ze binnen 30 dagen, behalve wat de wet hem verplicht te bewaren. Kopieën in back-ups verdwijnen volgens de bewaartermijnen in Bijlage 2.
Artikel 11 · Controle
De Verwerker geeft de Verantwoordelijke op vraag de informatie die nodig is om aan te tonen dat hij deze overeenkomst naleeft. Een audit ter plaatse kan na een redelijke aankondiging, hoogstens eenmaal per jaar, op kosten van de Verantwoordelijke, tenzij een toezichthouder ze oplegt.
Artikel 12 · Aansprakelijkheid en recht
De aansprakelijkheid volgt het artikel over aansprakelijkheid in de algemene voorwaarden van Pagebase, behalve waar de AVG dat niet toelaat. Op deze overeenkomst is Belgisch recht van toepassing.
Bijlage 1 · Verwerking
| Wie | Welke gegevens | Waarvoor |
|---|---|---|
| Klanten van de webshop en de kassa | naam, e-mail, telefoon, adres, bestellingen, betaalstatus (geen kaartgegevens), retouren | bestellingen verwerken, bonnen en bevestigingen sturen, verzenden, terugbetalen |
| Klanten met een klantaccount | e-mail, gehasht wachtwoord, adressen, bestelgeschiedenis | inloggen in de webshop, bestellingen opvolgen |
| Nieuwsbriefabonnees | e-mail, naam, inschrijvingsbevestiging, uitschrijving | nieuwsbrieven versturen |
| Wie een formulier invult | wat het formulier vraagt, eventueel foto's | het bericht aan de Verantwoordelijke bezorgen |
| Bezoekers van de website | ingekort IP-adres, bezochte pagina's, cookietoestemming | statistieken, beveiliging |
| Medewerkers aan de kassa | naam, pincode | wie een verkoop deed |
Bijlage 2 · Beveiligingsmaatregelen
- Versleutelde verbindingen (TLS) voor alle verkeer.
- Servers in de EU (Hetzner, Duitsland), met beveiligingsupdates.
- Wachtwoorden gehasht; inloggen in twee stappen beschikbaar; beperking van inlogpogingen.
- Sleutels van koppelingen (SumUp, Sendcloud) versleuteld opgeslagen.
- Toegang tot klantaccounts voor support alleen voor beheerders, en gelogd.
- Dagelijkse back-ups naar een aparte opslag in een ander datacenter in de EU, met snapshots die niet vanaf de server te wissen zijn. Bewaring: 7 dagen dagelijks, 14 dagen snapshots, maandelijkse kopieën 12 maanden.
- Foutmeldingen en storingen worden opgevolgd.
Bijlage 3 · Subverwerkers
| Subverwerker | Waarvoor | Waar |
|---|---|---|
| Hetzner Online GmbH | servers, opslag en back-ups | Duitsland (EU) |
| Hostinger International Ltd | de mailbox info@pagebase.be, DNS | Cyprus (EU) |
| Resend (Plus Five Five, Inc.) | e-mails versturen (bevestigingen, nieuwsbrieven) | Verenigde Staten: EU-VS Data Privacy Framework, en de standaardcontractbepalingen in de verwerkersovereenkomst van Resend |
| Stripe Payments Europe Ltd | betalingen in de webshop, via het eigen Stripe-account van de winkel | Ierland (EU) |
| SumUp Limited | kaartbetalingen in de winkel, via het eigen SumUp-account van de winkel | Ierland (EU) |
| Sendcloud B.V. | verzendlabels, als de winkel het koppelt | Nederland (EU) |
| OpenAI | AI-functies, alleen als de gebruiker ze gebruikt | Verenigde Staten |
Stripe, SumUp en Sendcloud werken met het eigen account van de winkel: de winkel sluit daar zelf een overeenkomst mee.