Verwerkersovereenkomst
Afspraken over de persoonsgegevens die Goedbezet voor jouw zaak verwerkt, zoals de AVG vraagt.
Concept, nog niet juridisch getoetst. Dit is een werkbare opzet voor de vroege toegang. Een jurist kijkt er nog naar, en waar "te bevestigen" of "nog in te vullen" staat, volgt de definitieve informatie.
Bewaar hem bij je administratie.
1. Partijen
- Verwerkingsverantwoordelijke: de zaak die een Goedbezet-account heeft aangemaakt ("de zaak").
- Verwerker: [handelsnaam en rechtsvorm, nog in te vullen], ingeschreven onder [KvK-nummer, nog in te vullen], [vestigingsadres, nog in te vullen] ("Goedbezet").
Deze overeenkomst komt tot stand als de zaak bij het aanmelden akkoord gaat met de algemene voorwaarden en deze verwerkersovereenkomst. Hij loopt zolang de zaak Goedbezet gebruikt en zolang Goedbezet daarna nog gegevens van de zaak bewaart.
2. Onderwerp en doel
Goedbezet verwerkt persoonsgegevens in opdracht van de zaak, alleen om de dienst te leveren: personeelsplanning, urenregistratie, klokken, verlof, beschikbaarheid, communicatie binnen het team, loonkostenberekening en exports.
3. Soorten gegevens en betrokkenen
Betrokkenen: teamleden van de zaak, sollicitanten of oud-teamleden die de zaak invoert, en de beheerders van het account.
- Identificatie en contact: naam, geboortedatum, e-mailadres, telefoonnummer, adres, contactpersoon voor noodgevallen.
- Contract en loon: contractsoort, contracturen, uurloon, loonhistorie, werkgeverslasten, IBAN.
- Werk en tijd: rooster, gewerkte uren, klokmomenten, pauzes, goedkeuringen en wijzigingsredenen.
- Afwezigheid: verlof, beschikbaarheid en ziekteperiodes, zonder medische gegevens.
- Communicatie: berichten, reacties en peilingen binnen de werkruimte.
- Technisch: klokcode, IP-adres van het klokapparaat als de zaak dat aanzet, inlog- en servergegevens.
Goedbezet is niet bedoeld voor bijzondere persoonsgegevens, zoals gezondheidsgegevens, of voor het burgerservicenummer. De zaak zet die er niet in.
4. Verwerken op instructie
Goedbezet verwerkt de gegevens alleen op schriftelijke instructie van de zaak. Het gebruik van de app en de instellingen die de zaak kiest, gelden als instructie. Goedbezet gebruikt de gegevens niet voor eigen doelen, verkoopt ze niet en gebruikt ze niet om modellen te trainen. Vindt Goedbezet dat een instructie in strijd is met de wet, dan meldt Goedbezet dat direct.
5. Geheimhouding
Iedereen die bij Goedbezet toegang heeft tot de gegevens, is tot geheimhouding verplicht. Toegang is beperkt tot wat nodig is voor beheer, ondersteuning op verzoek van de zaak en het oplossen van storingen.
6. Beveiliging
Goedbezet neemt passende technische en organisatorische maatregelen, waaronder:
- Versleutelde verbindingen (https) voor al het verkeer.
- Scheiding tussen werkruimtes, afgedwongen in de database.
- Rollen en rechten binnen een werkruimte.
- Wachtwoorden alleen als onomkeerbare hash, en beperking van het aantal inlog- en aanmeldpogingen.
- Een logboek van wijzigingen aan uren en andere belangrijke gegevens.
- Back-ups bij de databaseleverancier (bewaartermijn te bevestigen).
Bekend open punt: lonen en IBAN's zijn binnen een werkruimte nog niet volledig afgeschermd voor teamleden zonder rechten. Goedbezet meldt de zaak wanneer dit is opgelost.
7. Subverwerkers
De zaak geeft toestemming voor de subverwerkers hieronder. Goedbezet legt met elk van hen minstens dezelfde verplichtingen vast als in deze overeenkomst. Een nieuwe subverwerker meldt Goedbezet minstens 30 dagen van tevoren; de zaak kan dan bezwaar maken en, als we er samen niet uitkomen, kosteloos stoppen.
| Subverwerker | Waarvoor | Gegevens | Locatie |
|---|---|---|---|
| Supabase | Database, inloggen en opslag van de werkruimte | Alle gegevens in de werkruimte en inloggegevens | EU (regio te bevestigen) |
| Vercel | Hosting van de website en de app, anonieme bezoekersstatistiek zonder cookies | Verzoeken aan de server, IP-adres in logbestanden | Regio van de serverfuncties te bevestigen; Vercel is een Amerikaans bedrijf |
| Resend | Versturen van e-mail, zoals uitnodigingen | Naam en e-mailadres van de ontvanger, inhoud van de mail | Regio te bevestigen; Resend is een Amerikaans bedrijf |
| Sentry | Foutmeldingen, zodat we storingen kunnen oplossen | Technische gegevens over de fout, zo min mogelijk persoonsgegevens | Regio te bevestigen (EU-regio beschikbaar); nog niet actief |
Gaan gegevens naar een land buiten de Europese Economische Ruimte, dan gebeurt dat alleen met een geldige grondslag, zoals het EU-VS-gegevensprivacykader of de standaardcontractbepalingen van de Europese Commissie.
8. Rechten van betrokkenen
De zaak handelt verzoeken van betrokkenen af, zoals inzage, correctie of verwijdering. Met de app kan de zaak de meeste verzoeken zelf uitvoeren (bewerken, exporteren, verwijderen). Waar dat niet lukt, helpt Goedbezet binnen redelijke termijn. Komt een verzoek rechtstreeks bij Goedbezet binnen, dan sturen we het door naar de zaak.
9. Datalekken
Ontdekt Goedbezet een inbreuk in verband met persoonsgegevens, dan meldt Goedbezet dat zonder onredelijke vertraging en uiterlijk binnen 48 uur aan de zaak, met wat bekend is over de aard, de omvang, de gevolgen en de genomen maatregelen. De zaak beslist over een melding aan de Autoriteit Persoonsgegevens en aan betrokkenen; Goedbezet helpt daarbij.
10. Bijstand en controle
Goedbezet helpt de zaak waar redelijk bij een gegevensbeschermingseffectbeoordeling en bij vragen van de toezichthouder. Goedbezet geeft de zaak op verzoek de informatie die nodig is om na te gaan of deze overeenkomst wordt nageleefd.
11. Einde en teruggave
Stopt de zaak met Goedbezet, dan kan zij vooraf alle gegevens exporteren. Daarna verwijdert Goedbezet de werkruimte. Kopieën in back-ups verdwijnen na de bewaartermijn van die back-ups. Goedbezet bewaart geen gegevens langer dan nodig, tenzij de wet dat vraagt.
12. Overig
Voor aansprakelijkheid gelden de algemene voorwaarden. Bij tegenstrijdigheid over persoonsgegevens gaat deze overeenkomst voor. Op deze overeenkomst is Nederlands recht van toepassing.
Contact over deze overeenkomst: hallo@goedbezet.nl.