Deze verwerkersovereenkomst is van toepassing voor zover Jouw Copiloot B.V., handelend onder de naam MortelMaat, persoonsgegevens verwerkt namens een zakelijke klant van MortelMaat. Deze verwerkersovereenkomst maakt onderdeel uit van de overeenkomst tussen MortelMaat en de klant en vormt een aanvulling op de Algemene Voorwaarden MortelMaat.
1. Rollen en toepasselijkheid
1.1 De klant is verwerkingsverantwoordelijke voor persoonsgegevens die hij via MortelMaat verwerkt voor zijn eigen doeleinden.
1.2 Jouw Copiloot B.V., handelend onder de naam MortelMaat, treedt voor deze persoonsgegevens op als verwerker.
1.3 Voor persoonsgegevens die MortelMaat voor eigen doeleinden verwerkt, bijvoorbeeld voor accountbeheer, facturatie, ondersteuning en eigen beveiliging, treedt MortelMaat zelfstandig op als verwerkingsverantwoordelijke. Op die verwerkingen is de Privacyverklaring MortelMaat van toepassing.
1.4 Deze verwerkersovereenkomst geldt zolang en voor zover MortelMaat persoonsgegevens namens de klant verwerkt.
2. Verwerking van persoonsgegevens
2.1 MortelMaat verwerkt persoonsgegevens uitsluitend voor de uitvoering, beveiliging, ondersteuning en het onderhoud van de overeengekomen Dienst en volgens de gedocumenteerde instructies van de klant.
2.2 De verwerking kan onder meer bestaan uit het opslaan, raadplegen, structureren, analyseren, berekenen, verzenden, beschikbaar stellen, exporteren en verwijderen van persoonsgegevens.
2.3 De belangrijkste verwerkingen, categorieën persoonsgegevens en betrokkenen zijn opgenomen in Bijlage 1.
2.4 De overeenkomst, deze verwerkersovereenkomst, het gebruik van functionaliteiten door bevoegde gebruikers en aanvullende schriftelijke afspraken gelden gezamenlijk als gedocumenteerde instructies van de klant.
2.5 Indien MortelMaat op grond van Unierecht of Nederlands recht verplicht is persoonsgegevens anders te verwerken dan volgens de instructies van de klant, informeert MortelMaat de klant hierover vooraf, tenzij de betreffende wet dit verbiedt.
2.6 Indien MortelMaat van oordeel is dat een instructie van de klant in strijd is met toepasselijke privacywetgeving, informeert MortelMaat de klant daar zonder onredelijke vertraging over.
2.7 MortelMaat gebruikt persoonsgegevens die zij uitsluitend namens de klant verwerkt niet voor eigen marketingdoeleinden of andere onverenigbare eigen doeleinden.
3. Geheimhouding en beveiliging
3.1 MortelMaat zorgt ervoor dat personen die onder haar gezag toegang hebben tot persoonsgegevens deze uitsluitend verwerken voor zover dat noodzakelijk is voor hun werkzaamheden en aan een passende geheimhoudingsplicht zijn gebonden.
3.2 MortelMaat treft passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, onbevoegde toegang, ongeoorloofde wijziging en andere onrechtmatige verwerking.
3.3 Deze maatregelen omvatten, afhankelijk van de verwerking, onder meer:
- toegangs- en autorisatiebeheer;
- logische scheiding van klantomgevingen;
- passende beveiliging van gegevens tijdens opslag en overdracht;
- authenticatie en sessiebeheer;
- beperking van beheerdersrechten;
- logging en monitoring;
- back-up- en herstelmaatregelen;
- incidentmanagement.
3.4 MortelMaat mag beveiligingsmaatregelen aanpassen wanneer technische ontwikkelingen, risico's of wijzigingen in de Dienst daartoe aanleiding geven, mits het algemene beschermingsniveau niet wezenlijk wordt verlaagd.
4. Subverwerkers en internationale doorgifte
4.1 De klant geeft MortelMaat algemene toestemming om subverwerkers in te schakelen voor zover dit noodzakelijk is voor de Dienst.
4.2 MortelMaat legt aan subverwerkers die namens de klant persoonsgegevens verwerken passende gegevensbeschermingsverplichtingen op die in wezen overeenkomen met de relevante verplichtingen uit deze verwerkersovereenkomst.
4.3 MortelMaat blijft tegenover de klant verantwoordelijk voor de nakoming door haar subverwerkers voor zover de AVG dit voorschrijft.
4.4 MortelMaat houdt een actueel overzicht bij van de ingeschakelde subverwerkers. Dit overzicht kan door de klant kosteloos worden opgevraagd via contact@mortelmaat.nl.
4.5 Wanneer MortelMaat een nieuwe subverwerker wil inschakelen of een bestaande subverwerker wil vervangen, informeert zij de klant daar vooraf over via een passend kanaal.
4.6 De klant kan binnen een redelijke termijn gemotiveerd bezwaar maken wanneer de wijziging aantoonbaar een wezenlijk risico oplevert voor de bescherming van persoonsgegevens. Partijen proberen in dat geval een redelijke oplossing te vinden.
4.7 Wanneer persoonsgegevens buiten de Europese Economische Ruimte worden verwerkt, zorgt MortelMaat voor een geldige doorgiftegrondslag en passende waarborgen overeenkomstig de AVG.
5. Datalekken en ondersteuning
5.1 Wanneer MortelMaat kennis krijgt van een inbreuk in verband met persoonsgegevens die zij namens de klant verwerkt, informeert MortelMaat de klant zonder onredelijke vertraging.
5.2 MortelMaat verstrekt, voor zover beschikbaar, de informatie die de klant redelijkerwijs nodig heeft om het incident te beoordelen en aan zijn wettelijke verplichtingen te voldoen.
5.3 MortelMaat neemt redelijke maatregelen om de gevolgen van een incident te beperken en herhaling te voorkomen.
5.4 De klant blijft als verwerkingsverantwoordelijke verantwoordelijk voor eventuele meldingen aan de Autoriteit Persoonsgegevens en betrokkenen, tenzij de wet rechtstreeks een verplichting aan MortelMaat oplegt.
5.5 MortelMaat verleent, rekening houdend met de aard van de verwerking en de beschikbare informatie, redelijke bijstand bij:
- verzoeken van betrokkenen;
- beveiligingsverplichtingen;
- datalekken;
- gegevensbeschermingseffectbeoordelingen;
- voorafgaande raadpleging van een toezichthouder.
5.6 Wanneer een dergelijke ondersteuning substantiële werkzaamheden buiten de normale dienstverlening vereist, kunnen partijen vooraf redelijke afspraken maken over de uitvoering en kosten, voor zover dit wettelijke verplichtingen niet beperkt.
6. Verwijdering en teruggave
6.1 Tijdens de looptijd van de Dienst verwerkt MortelMaat persoonsgegevens zolang dit nodig is voor de dienstverlening of totdat de klant deze gegevens zelf verwijdert.
6.2 Na beëindiging van de dienstverlening kan de klant binnen de daarvoor in de Algemene Voorwaarden genoemde exportperiode verzoeken om teruggave van de namens hem verwerkte persoonsgegevens, voor zover deze redelijkerwijs beschikbaar kunnen worden gesteld.
6.3 Na afloop van deze periode, of nadat de overeengekomen teruggave heeft plaatsgevonden, verwijdert MortelMaat de persoonsgegevens die zij uitsluitend namens de klant verwerkt, tenzij Unierecht of Nederlands recht verdere bewaring vereist.
6.4 Tijdelijke restkopieën kunnen nog aanwezig zijn in reguliere back-ups. Deze worden niet opnieuw voor reguliere dienstverlening gebruikt en worden overeenkomstig de normale retentiecyclus overschreven of verwijderd.
6.5 Gegevens waarvoor MortelMaat zelfstandig verwerkingsverantwoordelijke is, vallen niet onder dit artikel. Daarop is de Privacyverklaring MortelMaat van toepassing.
7. Informatie en audits
7.1 MortelMaat verstrekt op redelijk verzoek informatie die noodzakelijk is om aan te tonen dat zij de op haar toepasselijke verplichtingen uit artikel 28 AVG en deze verwerkersovereenkomst naleeft.
7.2 Partijen maken waar mogelijk eerst gebruik van bestaande beveiligingsdocumentatie, verklaringen, certificeringen of andere beschikbare informatie.
7.3 Indien deze informatie redelijkerwijs onvoldoende is, kan de klant een audit laten uitvoeren door zichzelf of een onafhankelijke deskundige die aan passende geheimhouding is gebonden.
7.4 Een audit wordt vooraf schriftelijk aangekondigd, vindt in beginsel tijdens normale kantooruren plaats en wordt beperkt tot wat redelijkerwijs noodzakelijk is.
7.5 Een audit geeft geen recht op toegang tot gegevens van andere klanten, broncode of informatie waarvan openbaarmaking een wezenlijk beveiligingsrisico zou opleveren.
8. Overige bepalingen
8.1 De klant blijft verantwoordelijk voor de rechtmatigheid van de persoonsgegevens die hij via MortelMaat verwerkt, waaronder het beschikken over een geldige grondslag en het informeren van betrokkenen.
8.2 De klant verwerkt via MortelMaat geen bijzondere categorieën persoonsgegevens of strafrechtelijke persoonsgegevens, tenzij dit vooraf uitdrukkelijk is overeengekomen en rechtmatig kan plaatsvinden.
8.3 Voor aansprakelijkheid gelden de aansprakelijkheidsbepalingen uit de Algemene Voorwaarden MortelMaat, tenzij dwingend recht of de AVG voor een specifieke situatie anders bepaalt.
8.4 Bij strijd tussen deze verwerkersovereenkomst en de Algemene Voorwaarden MortelMaat gaat deze verwerkersovereenkomst voor, uitsluitend voor zover het onderwerp specifiek betrekking heeft op verwerking van persoonsgegevens namens de klant.
8.5 Materiële wijzigingen van de rechten en verplichtingen uit deze verwerkersovereenkomst worden niet eenzijdig door MortelMaat doorgevoerd, tenzij een wijziging noodzakelijk is om toepasselijke wet- of regelgeving na te leven.
8.6 Op deze verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden behandeld overeenkomstig de geschillenregeling uit de Algemene Voorwaarden MortelMaat.
8.7 Voor vragen over deze verwerkersovereenkomst kan contact worden opgenomen via contact@mortelmaat.nl.
Bijlage 1. Verwerkingen op hoofdlijnen
Projecten
- Persoonsgegevens: Naam, contactgegevens, projectadres, projectnotities en projectinformatie
- Betrokkenen: Opdrachtgevers en projectcontacten
- Doel: Projectbeheer, calculatie en offertevoorbereiding
Bouwtekeningen en uploads
- Persoonsgegevens: Persoonsgegevens die voorkomen in tekeningen, afbeeldingen en documenten
- Betrokkenen: Opdrachtgevers, architecten, bouwers en andere genoemde personen
- Doel: Opslag, analyse en calculatie
Offertes
- Persoonsgegevens: Offerte-inhoud, bedragen, project- en ruimtegegevens
- Betrokkenen: Opdrachtgevers en contactpersonen
- Doel: Opstellen, beheren en verzenden van offertes
Digitale acceptatie
- Persoonsgegevens: Naam, handtekening, datum/tijd en waar van toepassing technische acceptatiegegevens
- Betrokkenen: Ondertekenaars
- Doel: Vastleggen van acceptatie en ondersteuning van bewijsvoering
Offertecommunicatie
- Persoonsgegevens: E-mailadres, berichtinhoud en verzendinformatie
- Betrokkenen: Opdrachtgevers en contactpersonen
- Doel: Verzenden van offertes en bijbehorende communicatie