Verwerkersovereenkomst

1. Doel en status

Deze DPA maakt deel uit van de gebruiksvoorwaarden tussen de klantorganisatie en Aer Software Solutions B.V. (Doqubox, KvK 27332530). Zij regelt verwerking namens de klant op grond van artikel 28 AVG en heeft voorrang bij tegenstrijdige voorwaarden over die verwerking.

2. Partijen en rollen

• Klant: verwerkingsverantwoordelijke voor persoonsgegevens die namens de klant worden verwerkt.
• Doqubox: verwerker voor documenten, metadata, ontvangerverificatie, gebruikers van de werkomgeving, rechten, activiteitenregistraties en beveiliging van die verwerking.
• Buiten deze DPA: Doqubox is zelfstandig verwerkingsverantwoordelijke voor eigen klantrelaties, facturatie, wettelijke verplichtingen, websiteanalytics en platformbeveiliging en misbruikpreventie waarvoor het zelfstandig de doeleinden bepaalt.

3. Onderwerp en duur

De verwerking omvat ontvangen, opslaan, doorgeven, opvragen en verwijderen van documenten en gerelateerde gegevens voor documentuitwisseling, verzoeken, verificatie, bewaartermijnen, meldingen en ondersteuning. Zij duurt gedurende de klantrelatie en de periode die nodig is voor verwijdering of wettelijk verplichte bewaring.

4. Verwerkingsinstructies

Doqubox verwerkt persoonsgegevens alleen op gedocumenteerde klantinstructies, waaronder de overeenkomst, productinstellingen, gebruikershandelingen en supportverzoeken. Dit geldt ook voor doorgifte buiten de EER.

Verwerking die Unierecht of lidstatelijk recht vereist, is toegestaan; Doqubox informeert de klant vooraf, tenzij dit wettelijk verboden is. Als een instructie in strijd lijkt met de AVG of andere gegevensbeschermingswetgeving van de Unie of een lidstaat, informeert Doqubox de klant onmiddellijk en schort die instructie op tot een oplossing is gevonden.

5. Betrokkenen en gegevenscategorieën

Betrokkenen zijn gebruikers van de werkomgeving, afzenders, ontvangers en personen in klantdocumenten, zoals cliënten, werknemers, sollicitanten, patiënten en leveranciers.

Gegevens omvatten bestanden en metadata, contact- en gebruikersgegevens, rollen, documentverzoeken, berichten, verificatiegegevens, activiteitenlogs en supportcommunicatie namens de klant. De klant bepaalt de documentinhoud.

6. Beveiligingsmaatregelen

Doqubox neemt risicogerichte technische en organisatorische maatregelen volgens artikel 32 AVG: end-to-end encryptie van bestanden en hun metadata, encryptie tijdens transport en versleutelde bestandsopslag, toegangscontroles, passkeys, bewaartermijnen en monitoring. Zie de beveiligingspagina.

7. Vertrouwelijkheid

Bevoegde medewerkers zijn gebonden aan vertrouwelijkheid en krijgen alleen toegang voor zover hun taken dat vereisen.

9. Verzoeken van betrokkenen

Rekening houdend met de verwerking helpt Doqubox de klant, voor zover mogelijk met passende technische en organisatorische maatregelen, bij verzoeken om rechten van betrokkenen uit te oefenen. Doqubox stuurt ontvangen verzoeken direct door en ondersteunt via accountfuncties en relevante registraties. De klant bepaalt de reactie.

10. Datalekken en ondersteuning bij naleving

Doqubox informeert getroffen klanten zonder onredelijke vertraging zodra het kennisneemt van een inbreuk op persoonsgegevens. Het verstrekt beschikbare informatie over de betrokken gegevens, waarschijnlijke gevolgen en herstelmaatregelen, met aanvullingen zodra die beschikbaar zijn.

Rekening houdend met de verwerking en beschikbare informatie helpt Doqubox bij de verplichtingen uit artikelen 32-36 AVG: beveiliging, datalekmeldingen, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van toezichthouders.

11. Verwijdering en bewaring

Doqubox past de afgesproken bewaartermijnen toe. Wanneer de dienst eindigt, geeft Doqubox naar keuze van de klant alle namens de klant bewaarde persoonsgegevens terug of verwijdert deze, en verwijdert bestaande kopieën, tenzij Unierecht of lidstatelijk recht bewaring vereist.

Teruggave kan plaatsvinden via de beschikbare ophaalfuncties in de dienst, waaronder het downloaden van documenten. De klant dient gegevens op te halen voordat de dienst eindigt en voordat de geldende bewaartermijnen verstrijken. Voor gegevens die niet via die functies kunnen worden opgehaald, of om het ophalen bij beëindiging af te stemmen, neem contact op via support@doqubox.com. Doqubox stemt een redelijke gelegenheid af om nog bewaarde gegevens op te halen voordat deze worden verwijderd. Voor het ophalen van end-to-end versleutelde bestanden en metadata zijn bevoegde toegang van de klant en ontsleuteling in de browser nodig, omdat Doqubox geen leesbare kopie heeft. Kopieën in backups worden verwijderd zodra die backups worden overschreven.

Tijdens de dienst verlopen documenten ook volgens de afgesproken bewaartermijnen. Het bewaarbeleid beschrijft verloop en backuprotatie en gaat niet boven deze DPA. Voor gegevens voor eigen doeleinden van Doqubox geldt de privacyverklaring.

12. Audit en informatievoorziening

Doqubox verstrekt alle informatie die nodig is om naleving van artikel 28 AVG aan te tonen en staat klantaudits toe en werkt daaraan mee, inclusief inspecties door aangewezen auditors.

Audits zijn normaal beperkt tot eenmaal per twaalf maanden, tijdens kantooruren en met ten minste 30 dagen schriftelijke aankondiging. Aanvullende audits, met een bij de omstandigheden passende aankondiging, zijn toegestaan bij redelijke zorgen over niet-naleving, een eis van een toezichthouder of een datalek met klantgegevens.

De klant draagt de kosten van audits die hij uitvoert of laat uitvoeren. Partijen stemmen reikwijdte, planning, vertrouwelijkheid en beveiliging af om andere klanten te beschermen en verstoring te beperken. Doqubox mag een auditor die rechtstreeks concurreert met Doqubox of een onderzochte subverwerker redelijkerwijs weigeren en een geheimhoudingsovereenkomst verlangen.

Voor subverwerkers verstrekt Doqubox eerst beschikbare certificeringen en onafhankelijke auditrapporten en regelt verdere audittoegang waar dat redelijkerwijs nodig is om naleving aan te tonen. Deze afspraken verhinderen de uitoefening van het auditrecht van de klant niet.

13. Internationale doorgifte

Infrastructuur voor applicatiehosting, databases, object storage, backups en uitgaande e-mail staat in de EU. Overige verwerkingslocaties staan in de subverwerkerslijst. Voor doorgifte buiten de EER gelden waar vereist passende waarborgen, zoals adequaatheidsbesluiten of Standard Contractual Clauses. Wijzigingen van subverwerkers volgen artikel 8.

14. Verantwoordelijkheden van de klant

De klant bepaalt rechtmatige doeleinden en grondslagen, vraagt alleen noodzakelijke gegevens op, beheert toegang en ontvangers en downloadt documenten voor afloop. Gevoelige of urgente gegevensbeschermingsvragen moeten direct aan Doqubox worden gemeld.