Verwerkersovereenkomst

1. Onderwerp, aard en doel van de verwerking

De Verwerker verwerkt persoonsgegevens voor de Verwerkingsverantwoordelijke uitsluitend om de Dienst te leveren: het opmaken van roosters, het registreren van aanwezigheden en gewerkte uren, het opvolgen van correcties en afwezigheden, het versturen van herinneringen en uitnodigingen, het opstellen van rapporten en exports, en het beveiligen en onderhouden van de Dienst.

De aard van de verwerking, de soorten persoonsgegevens en de categorieën van betrokkenen staan in Bijlage A.

2. Duur

Deze Overeenkomst geldt zolang de Verwerker persoonsgegevens voor de Verwerkingsverantwoordelijke verwerkt, en eindigt van rechtswege met de overeenkomst voor de Dienst, behalve voor de bepalingen die naar hun aard blijven gelden, zoals vertrouwelijkheid en aansprakelijkheid.

3. Verplichtingen van de verwerkingsverantwoordelijke

• De Verwerkingsverantwoordelijke is verantwoordelijk voor de rechtmatigheid van de verwerking, voor een geldige rechtsgrond en voor het informeren van de betrokkenen (zijn werknemers).
• Hij geeft instructies aan de Verwerker en houdt de gegevens in de Dienst correct en up-to-date.
• Hij beheert de rollen en toegangen van zijn Gebruikers en houdt inloggegevens en tijdelijke wachtwoorden veilig.
• Hij bepaalt de bewaartermijnen van zijn gegevens en gebruikt de functies van de Dienst om gegevens te exporteren of te laten wissen.

4. Verplichtingen van de verwerker

• De Verwerker verwerkt persoonsgegevens enkel op gedocumenteerde instructie van de Verwerkingsverantwoordelijke, ook voor doorgiften buiten de Europese Economische Ruimte, tenzij een Unierechtelijke of nationale bepaling hem tot een andere verwerking verplicht. In dat geval meldt hij dat voorafgaand aan de Verwerkingsverantwoordelijke, tenzij de wet dat verbiedt.
• Als instructie gelden deze Overeenkomst, de algemene voorwaarden en de instellingen en handelingen van de Verwerkingsverantwoordelijke en zijn Gebruikers in de Dienst.
• Vindt de Verwerker dat een instructie in strijd is met de AVG of andere gegevensbeschermingsregels, dan verwittigt hij de Verwerkingsverantwoordelijke daarover onverwijld.
• De Verwerker verwerkt de gegevens niet voor eigen doeleinden en gebruikt ze niet voor reclame of profilering.
• De Verwerker houdt een register bij van de verwerkingen die hij als verwerker uitvoert, overeenkomstig artikel 30.2 AVG.

5. Vertrouwelijkheid

De Verwerker zorgt ervoor dat enkel personen met toegang tot de persoonsgegevens die toegang nodig hebben voor de uitvoering van de Dienst, en dat zij gebonden zijn door een contractuele of wettelijke geheimhoudingsplicht.

6. Beveiliging

De Verwerker neemt, rekening houdend met de stand van de techniek, de kosten, de aard van de verwerking en de risico’s voor de betrokkenen, passende technische en organisatorische maatregelen overeenkomstig artikel 32 AVG. De maatregelen op de datum van deze versie staan in Bijlage B. De Verwerker kan ze aanpassen, op voorwaarde dat het beschermingsniveau niet daalt.

7. Subverwerkers

• De Verwerkingsverantwoordelijke geeft de Verwerker een algemene toestemming om subverwerkers in te schakelen. De subverwerkers op de datum van deze versie staan in Bijlage C.
• De Verwerker verwittigt de Verwerkingsverantwoordelijke minstens 30 dagen op voorhand per e-mail of in de app van elke beoogde toevoeging of vervanging van een subverwerker. De Verwerkingsverantwoordelijke kan binnen die termijn om gewettigde redenen schriftelijk bezwaar maken. Kunnen partijen geen oplossing vinden, dan kan de Verwerkingsverantwoordelijke de overeenkomst voor de Dienst zonder kosten beëindigen.
• De Verwerker legt elke subverwerker dezelfde gegevensbeschermingsverplichtingen op als in deze Overeenkomst en blijft tegenover de Verwerkingsverantwoordelijke verantwoordelijk voor de nakoming door de subverwerker.

8. Doorgifte buiten de Europese Economische Ruimte

De Verwerker slaat de persoonsgegevens op binnen de Europese Unie (Duitsland). Een doorgifte naar een derde land gebeurt enkel met een passend doorgiftemechanisme (zoals een adequaatheidsbesluit, het EU-VS-gegevensprivacykader of de standaardcontractbepalingen van de Europese Commissie) en beperkt zich tot wat voor de verzending van e-mail en pushmeldingen nodig is.

9. Bijstand bij rechten van betrokkenen

De Verwerker helpt de Verwerkingsverantwoordelijke, met passende technische en organisatorische maatregelen, om verzoeken van betrokkenen te beantwoorden. De Dienst biedt daarvoor onder meer export van gegevens (voor de organisatie en voor werknemers afzonderlijk), correctie van gegevens, archivering en definitieve verwijdering van een organisatie.

Ontvangt de Verwerker rechtstreeks een verzoek van een betrokkene, dan antwoordt hij niet inhoudelijk maar geeft hij het verzoek zonder onnodige vertraging door aan de Verwerkingsverantwoordelijke, tenzij de wet iets anders vereist.

10. Bijstand bij naleving van andere verplichtingen

De Verwerker helpt de Verwerkingsverantwoordelijke, rekening houdend met de aard van de verwerking en de beschikbare informatie, bij de naleving van de artikelen 32 tot en met 36 AVG: beveiliging, melding van datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthouder.

11. Melding van inbreuken in verband met persoonsgegevens

• De Verwerker verwittigt de Verwerkingsverantwoordelijke onverwijld, en uiterlijk binnen 48 uur nadat hij kennis kreeg van een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot persoonsgegevens die hij verwerkt.
• De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken categorieën en geschatte aantallen betrokkenen en gegevens, de waarschijnlijke gevolgen, en de genomen of voorgestelde maatregelen. Ontbrekende informatie wordt zo snel mogelijk aangevuld.
• De Verwerkingsverantwoordelijke beslist of en wanneer de inbreuk aan de toezichthouder en aan de betrokkenen wordt gemeld. De Verwerker neemt zonder onnodige vertraging maatregelen om de inbreuk te beperken.

12. Audit en informatie

De Verwerker stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen. De Verwerkingsverantwoordelijke kan, met een opzegtermijn van minstens 30 dagen en hoogstens één keer per jaar, een audit laten uitvoeren door zichzelf of door een onafhankelijke, tot geheimhouding verplichte auditor. De audit gebeurt tijdens de gewone werkuren, verstoort de werking zo weinig mogelijk en blijft beperkt tot wat voor de verwerking voor de Verwerkingsverantwoordelijke nodig is. De kosten ervan zijn voor de Verwerkingsverantwoordelijke, tenzij de audit een wezenlijke tekortkoming aantoont. Een audit van de gegevens van andere klanten of van de infrastructuur van subverwerkers is uitgesloten; daarvoor volstaan de verslagen en certificaten van die subverwerkers.

13. Teruggave en verwijdering bij het einde

• Bij het einde van de overeenkomst voor de Dienst kan de Verwerkingsverantwoordelijke zijn gegevens exporteren via de functie “Alle gegevens exporteren”. Op verzoek bezorgt de Verwerker de gegevens in een gangbaar formaat.
• Op verzoek van de Verwerkingsverantwoordelijke, en uiterlijk 30 dagen na het einde van de overeenkomst, verwijdert de Verwerker de persoonsgegevens definitief uit de Dienst. Back-ups die de gegevens nog bevatten, worden binnen 14 dagen daarna overschreven.
• De Verwerker mag gegevens langer bewaren voor zover een wettelijke verplichting dat vereist, zoals facturen in de boekhouding (7 jaar). Hij beperkt die bewaring dan tot wat nodig is.

14. Aansprakelijkheid

Elke partij is aansprakelijk volgens artikel 82 AVG. In de onderlinge verhouding tussen partijen gelden de beperkingen van aansprakelijkheid uit de algemene voorwaarden, behalve voor wat de wet niet toelaat te beperken.

15. Toepasselijk recht en bevoegde rechtbank

Op deze Overeenkomst is het Belgische recht van toepassing. Geschillen worden voorgelegd aan de rechtbanken van het gerechtelijk arrondissement Antwerpen, afdeling Turnhout.

Bijlage A: beschrijving van de verwerking

• Doel: het leveren van de dienst Clockfair voor tijdsregistratie, planning, correcties, afwezigheden, herinneringen, rapportage en export.
• Aard van de verwerking: opslaan, raadplegen, ordenen, wijzigen via correcties, doorgeven aan de Verwerkingsverantwoordelijke en zijn Gebruikers, verzenden van berichten, exporteren en wissen.
• Categorieën van betrokkenen: werknemers (inclusief flexi-jobbers en studenten) van de Verwerkingsverantwoordelijke; Gebruikers met een beheerrol (eigenaars, beheerders, managers).
• Soorten persoonsgegevens: identificatiegegevens (voor- en achternaam, e-mailadres, telefoonnummer, personeelsnummer), gegevens over de tewerkstelling (type werknemer, begin- en einddatum, contracturen, weekrooster en afwijkingen), tijdsregistraties (in- en uitklokken, pauzes, bron, toestel, afgeleide van het IP-adres), correcties met reden en beslissing, afwezigheden (vakantie, ziekte, andere) met eventuele notitie, aanmeld- en beveiligingsgegevens (gehasht wachtwoord, sessies, instellingen voor tweestapsverificatie), meldingsvoorkeuren en pushabonnementen, en audit trail.
• Bijzondere categorieën: de Dienst vraagt geen gezondheidsgegevens. Het type afwezigheid “ziek” kan wel een gezondheidsgegeven zijn; de Verwerkingsverantwoordelijke moet de reden of aard van de ziekte niet invoeren en mag dat ook niet doen.
• Bewaring: tot de Verwerkingsverantwoordelijke gegevens wist of de organisatie laat verwijderen (met een bedenktijd van 30 dagen), met de uitzonderingen uit de sectie over teruggave en verwijdering.

Bijlage B: technische en organisatorische maatregelen

• Toegangsbeheer: rollen en rechten (eigenaar, beheerder, manager, werknemer); toegang tot gegevens van een organisatie enkel binnen die organisatie; tweestapsverificatie beschikbaar en aanbevolen voor beheerders.
• Scheiding van gegevens: strikte scheiding van de gegevens van organisaties op databaseniveau (row-level security) en afzonderlijke databaserollen voor de applicatie.
• Authenticatie: wachtwoorden en pincodes enkel als hash (argon2id), minimumlengte van wachtwoorden, begrenzing van aanmeldpogingen, aanmeldsessies met beperkte duur en afmelding op andere toestellen na een wachtwoordwijziging.
• Integriteit: tijdsregistraties zijn onveranderlijk; correcties worden naast het origineel bewaard; de audit trail is met een hash-keten beschermd tegen onopgemerkte wijziging.
• Transportbeveiliging: alle verbindingen met de Dienst verlopen via https (TLS) met automatisch vernieuwde certificaten; beveiligingshoofdingen zoals een strikt Content-Security-Policy.
• Infrastructuur: server in een datacenter in Duitsland; firewall met enkel de noodzakelijke poorten; beheer enkel met een sleutel (geen wachtwoordaanmelding); fail2ban tegen aanvallen; automatische beveiligingsupdates.
• Continuïteit: dagelijkse back-up van de database, 14 dagen bewaard; herstelprocedure beschreven en uitgeprobeerd.
• Minimalisering: een afgeleide (hash) van het IP-adres in plaats van het IP-adres zelf in registraties en de audit trail; geen advertentie- of trackingdiensten.
• Organisatie: toegang tot productiegegevens is beperkt tot de beheerder van de Dienst; geheimhoudingsplicht; incidenten worden geregistreerd en opgevolgd.

Bijlage C: subverwerkers

• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Duitsland: hosting van de servers, de database en de back-ups. Locatie van de verwerking: Neurenberg, Duitsland (EU).
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ierland: verzending van transactionele e-mails (bevestiging, uitnodiging, inloglink, wachtwoordherstel, herinneringen). Verwerkt het e-mailadres van de ontvanger en de inhoud van het bericht. Doorgifte naar de VS is mogelijk op basis van het EU-VS-gegevensprivacykader of standaardcontractbepalingen.
• Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Nederland: verwerking van betalingen, enkel wanneer betalen is ingeschakeld; verwerkt facturatiegegevens van de Klant, geen gegevens van werknemers.

Pushmeldingen worden afgeleverd via de pushdienst van de browser of het besturingssysteem van de ontvanger (bijvoorbeeld van Google, Apple, Mozilla of Microsoft). Dat gebeurt enkel na toestemming van de ontvanger en met een minimale inhoud.