Verwerkers­overeenkomst

1. Partijen en rollen

Deze verwerkersovereenkomst hoort bij de algemene voorwaarden van Plannerzz en is gesloten tussen:

• de klant: het bedrijf dat een Plannerzz-account heeft, hierna ook verwerkingsverantwoordelijke of jij; en
• Plannerzz: CleanMasterzz, gevestigd op Antwerpsestraat 45, 4921 DD Made, KvK 87411490, hierna ook verwerker of wij.

De overeenkomst komt tot stand wanneer je bij het aanmelden akkoord gaat. Begrippen zoals persoonsgegevens, verwerken, betrokkene en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis uit de Algemene Verordening Gegevensbescherming (AVG).

2. Onderwerp, duur, aard en doel

• Onderwerp: het verwerken van persoonsgegevens bij het leveren van de dienst Plannerzz: planning en klantbeheer, de medewerker-app Mijn Dag, het klantportaal, klantberichten en facturatie.
• Duur: zolang de overeenkomst loopt, inclusief een pilot- of proefperiode, en daarna totdat de gegevens volgens artikel 12 zijn teruggegeven of verwijderd.
• Aard: opslaan, ordenen, raadplegen, tonen, bijwerken, versturen (bijvoorbeeld afspraakbevestigingen per e-mail), omzetten van adressen naar kaartcoördinaten, maken van back-ups en verwijderen.
• Doel: jou in staat stellen je werk te plannen en uit te voeren, met je klanten te communiceren, het werk vast te leggen en te factureren. Wij gebruiken de gegevens niet voor eigen doeleinden.

3. Soorten gegevens en betrokkenen

Betrokkenen

• jouw klanten (eindklanten) en hun contactpersonen;
• jouw medewerkers en andere gebruikers van je account;
• mensen die via je bedrijfspagina of calculator een aanvraag doen.

Persoonsgegevens

• Contact- en adresgegevens: naam, adres, postcode, woonplaats, telefoonnummer, e-mailadres en de kaartlocatie van het adres;
• Afspraken en werk: geplande en uitgevoerde afspraken, diensten, frequentie, notities, status en tijdstippen (zoals onderweg, aangekomen, afgerond);
• Opleverbewijs: foto's van het uitgevoerde werk en handtekeningen voor akkoord;
• Financieel: offertes, facturen, bedragen en betaalstatus;
• Communicatie: berichten die via Plannerzz aan klanten worden gestuurd, en hun reacties in het klantportaal;
• Medewerkers: naam, contactgegevens, rol, werktijden en beschikbaarheid, toegewezen en afgeronde werkzaamheden, inlog- en gebruiksgegevens.

Plannerzz is niet bedoeld voor bijzondere persoonsgegevens (zoals gezondheid) of strafrechtelijke gegevens, en ook niet voor gevoelige gegevens als alarmcodes of pincodes. Zet die niet in notities of op foto's. Doe je dat toch, dan ben jij daarvoor verantwoordelijk.

4. Alleen volgens jouw instructies

• We verwerken de persoonsgegevens alleen op basis van jouw schriftelijke instructies. Deze overeenkomst, de algemene voorwaarden en de instellingen en handelingen die je zelf in Plannerzz doet, gelden als die instructies.
• Moeten we op grond van de wet iets anders doen (bijvoorbeeld een vordering van een bevoegde instantie), dan laten we je dat vooraf weten, tenzij de wet dat verbiedt.
• Vinden we dat een instructie in strijd is met de AVG of andere privacyregels, dan laten we je dat direct weten.
• Jij staat ervoor in dat je de gegevens rechtmatig mag verwerken en dat je je klanten en medewerkers informeert, bijvoorbeeld in je eigen privacyverklaring.

5. Geheimhouding

Iedereen die bij Plannerzz toegang heeft tot jouw gegevens, is tot geheimhouding verplicht, via een arbeids- of opdrachtovereenkomst of een aparte geheimhoudingsverklaring. Toegang krijgen alleen mensen die dat voor hun werk nodig hebben, zoals voor support of het oplossen van een storing, en niet meer dan nodig.

6. Beveiligingsmaatregelen

We nemen passende technische en organisatorische maatregelen (artikel 32 AVG), afgestemd op de aard van de gegevens en de risico's. Op dit moment in ieder geval:

• Versleutelde verbindingen: al het verkeer met Plannerzz loopt via HTTPS (TLS).
• Scheiding tussen bedrijven (tenant-isolatie): ieder bedrijf heeft een eigen afgeschermde omgeving. De software controleert bij iedere opvraging dat gegevens alleen binnen het eigen bedrijf zichtbaar zijn; dit wordt automatisch getest.
• Versleutelde sleutels en tokens: koppelingssleutels met derden worden versleuteld opgeslagen; wachtwoorden alleen als hash. Links naar het klantportaal en de volgpagina werken met lange, niet te raden sleutels.
• Toegangsbeheer: rollen per gebruiker (bijvoorbeeld eigenaar, planner, medewerker), zodat mensen alleen zien wat ze nodig hebben. Beheertoegang bij Plannerzz is beperkt tot een klein aantal personen.
• Back-ups: regelmatige back-ups, zodat de gegevens na een storing of fout hersteld kunnen worden. Back-ups worden overschreven binnen [bewaartermijn backups, bijv. 30 dagen].
• Hosting in de EU: de servers staan bij MC-Node (virtuele server in Nederland) in de Europese Unie.
• Onderhoud en controle: tijdige beveiligingsupdates, logging van beveiligingsrelevante gebeurtenissen, beperking van het aantal pogingen bij inloggen en toegangscodes, en een firewall die alleen de nodige diensten bereikbaar maakt.

We mogen maatregelen verbeteren of vervangen, zolang het beveiligingsniveau niet omlaag gaat. Jij zorgt voor een veilig gebruik aan jouw kant, zoals sterke wachtwoorden en het tijdig intrekken van toegang van oud-medewerkers.

7. Subverwerkers

Je geeft ons algemene toestemming om de onderstaande subverwerkers in te schakelen. Met iedere subverwerker hebben we afspraken die minstens dezelfde bescherming bieden als deze overeenkomst. Wij blijven tegenover jou verantwoordelijk voor hun werk.

* Voor Zwitserland en het Verenigd Koninkrijk heeft de Europese Commissie vastgesteld dat de bescherming van persoonsgegevens passend is (adequaatheidsbesluit).

Voegen we een subverwerker toe of vervangen we er een, dan melden we dat minstens 30 dagen vooraf per e-mail of in de app. Heb je daar een gegronde reden tegen, dan zoeken we samen een oplossing. Lukt dat niet, dan kun je de overeenkomst kosteloos opzeggen voordat de wijziging ingaat.

8. Doorgifte buiten de EER

We verwerken de gegevens binnen de Europese Economische Ruimte (EER). We geven geen persoonsgegevens door naar een land buiten de EER, tenzij dat land volgens de Europese Commissie een passend beschermingsniveau heeft, of er andere waarborgen zijn die de AVG toestaat (zoals de standaardcontractbepalingen van de Europese Commissie, met zo nodig aanvullende maatregelen).

9. Datalekken

• Ontdekken we een datalek dat jouw gegevens raakt, dan melden we dat zonder onnodige vertraging en uiterlijk binnen 48 uur nadat we het ontdekt hebben, aan het e-mailadres van de eigenaar van je account.
• We geven daarbij zoveel mogelijk informatie: wat er is gebeurd, welke soorten gegevens en hoeveel betrokkenen het ongeveer raakt, de mogelijke gevolgen, en wat we hebben gedaan of voorstellen om het op te lossen en de gevolgen te beperken. Wat we nog niet weten, sturen we na zodra we het weten.
• Jij beslist of het lek gemeld moet worden aan de Autoriteit Persoonsgegevens (binnen 72 uur) en aan de betrokkenen. Wij helpen je daarbij, maar melden niet zelf namens jou, tenzij je ons daarom vraagt.
• We houden een register bij van datalekken en de genomen maatregelen.

10. Hulp bij rechten en verplichtingen

• Rechten van betrokkenen: je kunt de meeste verzoeken (inzien, verbeteren, verwijderen, exporteren) zelf in Plannerzz afhandelen. Lukt dat niet, dan helpen we je. Komt een verzoek bij ons binnen, dan sturen we het door naar jou en handelen we het niet zelf af.
• Overige verplichtingen: we helpen je, voor zover redelijk en met de informatie die we hebben, bij het beveiligen van de gegevens, het melden van datalekken, een eventuele gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de toezichthouder.
• Normale hulp is inbegrepen. Vraagt iets uitzonderlijk veel tijd, dan overleggen we vooraf over een redelijke vergoeding.

11. Informatie en audits

• We geven je op verzoek alle informatie die nodig is om aan te tonen dat we ons aan deze overeenkomst en artikel 28 AVG houden, bijvoorbeeld een beschrijving van onze beveiligingsmaatregelen.
• Je mag maximaal één keer per jaar, of vaker bij een concrete aanwijzing van een probleem, een audit laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding is verplicht. Je meldt dat minstens 30 dagen vooraf. De audit mag de dienst voor andere klanten niet verstoren en geeft geen toegang tot gegevens van andere bedrijven.
• De kosten van de audit zijn voor jou, tenzij blijkt dat wij deze overeenkomst op een wezenlijk punt niet naleven. Dan herstellen wij de tekortkomingen op onze kosten.

12. Einde: teruggeven en verwijderen

• Na het einde van de overeenkomst kun je nog 30 dagen je gegevens exporteren in een gangbaar formaat, zoals CSV. Op verzoek leveren we een export aan.
• Uiterlijk 30 dagen na het einde verwijderen we de persoonsgegevens uit de dienst, tenzij een wettelijke plicht ons dwingt iets langer te bewaren. Back-ups worden automatisch overschreven binnen [bewaartermijn backups, bijv. 30 dagen] en worden tot die tijd niet meer gebruikt.
• Op verzoek bevestigen we schriftelijk dat de gegevens zijn verwijderd.

13. Aansprakelijkheid

Voor de aansprakelijkheid gelden de afspraken in de algemene voorwaarden, voor zover de AVG dat toestaat. Ieder is verantwoordelijk voor de eigen verplichtingen uit de AVG.

14. Slotbepalingen

• Deze overeenkomst loopt zolang de algemene voorwaarden en de dienst voor jou gelden. Afspraken die naar hun aard doorlopen, zoals geheimhouding en verwijdering, blijven daarna gelden.
• Bij tegenstrijdigheid gaat deze verwerkersovereenkomst voor op de algemene voorwaarden als het om persoonsgegevens gaat.
• Wijzigingen melden we zoals beschreven in de algemene voorwaarden. Wijzigingen die nodig zijn door nieuwe wetgeving kunnen direct ingaan.
• Nederlands recht is van toepassing.

Heb je een door beide partijen ondertekende versie nodig, bijvoorbeeld voor je eigen administratie? Mail dan naar info@plannerzz.nl.