Verwerkers­overeenkomst

1Partijen en status

Deze verwerkersovereenkomst is gesloten tussen:

• de klant: het bedrijf dat een account bij Dakscan heeft, als verwerkingsverantwoordelijke;
• Dakscan B.V., statutair gevestigd in Rotterdam (KvK 42216547), adres Westblaak 7, 3012 KC Rotterdam, als verwerker.

Deze overeenkomst hoort bij de algemene voorwaarden van Dakscan. De klant accepteert haar samen met die voorwaarden, bij het aanmaken van het account. Daarmee is ze schriftelijk aangegaan in elektronische vorm (artikel 28 lid 9 AVG). Spreken de voorwaarden en deze overeenkomst elkaar tegen over persoonsgegevens, dan gaat deze overeenkomst voor.

2Begrippen

Begrippen als persoonsgegevens, verwerking, betrokkene, verwerkingsverantwoordelijke en verwerker hebben de betekenis uit artikel 4 AVG. Verder betekent:

AVG

De Algemene verordening gegevensbescherming, Verordening (EU) 2016/679.

Dienst

Dakscan zoals beschreven in de algemene voorwaarden: de app (portal.dakscan.app) met scans, dakrapporten, dak aanpassen, inspecties, aanvragen, offertes, agenda en team, plus de widget en de pagina's die de klant deelt, zoals een rapport of een offerte.

Datalek

Een inbreuk in verband met persoonsgegevens (artikel 4 onder 12 AVG) bij gegevens die Dakscan voor de klant verwerkt.

Subverwerker

Een andere partij die Dakscan inschakelt en die daarbij persoonsgegevens van de klant verwerkt.

EER

De Europese Economische Ruimte.

3Onderwerp, aard en doel

Dakscan verwerkt persoonsgegevens voor de klant met één doel: de dienst leveren. Daaronder valt:

• adressen scannen en dakrapporten maken, en het dak aanpassen als de klant dat doet;
• inspecties vastleggen met foto's, metingen, checklist en handtekening, en inspectierapporten als pdf maken;
• aanvragen en offertes beheren, en rapporten en offertes delen met de klanten van de klant, via een link, per e-mail of als pdf;
• bijhouden of een gedeeld rapport of een offerte is geopend, getekend of afgewezen;
• afspraken plannen in de agenda van de klant en zijn team;
• aanvragen via de widget ontvangen en de klant daarover per e-mail informeren;
• e-mails versturen namens de klant, met de naam van de klant als afzender en antwoorden die naar de klant gaan;
• toestemmingen en een stoplijst bijhouden, zodat iemand die geen contact meer wil ook geen contact meer krijgt;
• gegevens opslaan, back-ups maken en gegevens na de bewaartermijn anonimiseren of verwijderen (bijlage 3);
• support geven als de klant daarom vraagt.

De knoppen WhatsApp en Route openen WhatsApp, Google Maps of Apple Kaarten op het toestel van de gebruiker zelf. Dakscan stuurt daar zelf niets heen.

De verwerking bestaat uit verzamelen, vastleggen, opslaan, ordenen, raadplegen, versturen, anonimiseren en verwijderen, via de systemen van Dakscan en haar subverwerkers.

4Soorten persoons­gegevens en betrokkenen

Betrokkenen zijn de klanten en mogelijke klanten van de klant: huiseigenaren, bewoners, VvE's en bedrijven, hun contactpersonen, bezoekers van de widget, en mensen die toevallig op een foto staan. Het gaat om deze soorten gegevens:

Dakscan vraagt geen bijzondere persoonsgegevens (artikel 9 AVG), strafrechtelijke gegevens of burgerservicenummers. Vrije tekst en foto's kunnen er toch iets van bevatten. De klant legt die zo min mogelijk vast. Foto's richten zich op het dak en de woning.

Gegevens over het account en het team van de klant (inloggen, rollen, abonnement, betalen en support) vallen niet onder deze overeenkomst. Daarvoor is Dakscan zelf verantwoordelijk, zoals beschreven in de privacyverklaring.

5Duur

Deze overeenkomst loopt zolang Dakscan persoonsgegevens voor de klant verwerkt. Ze eindigt pas als alle gegevens zijn teruggegeven of verwijderd zoals hieronder beschreven.

6Instructies

• Dakscan verwerkt de persoonsgegevens alleen op schriftelijke instructie van de klant, ook als het gaat om doorgifte buiten de EER. Deze overeenkomst, het gebruik van de dienst en de instellingen die de klant kiest, gelden als instructie. Aanvullende instructies geeft de klant per e-mail.
• Dakscan gebruikt de gegevens niet voor eigen doelen. Leads van de klant deelt Dakscan nooit met andere dakdekkers.
• Moet Dakscan op grond van de wet iets anders met de gegevens doen, dan laat Dakscan dat de klant vooraf weten, tenzij de wet dat verbiedt.
• Vindt Dakscan dat een instructie in strijd is met de AVG of andere privacyregels, dan meldt Dakscan dat direct aan de klant (artikel 28 lid 3 AVG).

7Verantwoordelijk­heid van de klant

De klant bepaalt waarom en hoe persoonsgegevens worden verwerkt en staat ervoor in dat dat rechtmatig gebeurt. De klant:

• heeft voor elke verwerking een grondslag (artikel 6 AVG);
• informeert zijn klanten en websitebezoekers over de verwerking (artikelen 13 en 14 AVG), onder meer in de privacyverklaring op zijn website;
• legt niet meer vast dan nodig en houdt gegevens juist;
• beveiligt de eigen accounts en toestellen, bijvoorbeeld met sterke wachtwoorden en een schermvergrendeling;
• handelt verzoeken van betrokkenen af en meldt datalekken waar nodig bij de Autoriteit Persoonsgegevens en aan betrokkenen.

8Geheimhouding

Iedereen die bij Dakscan of een subverwerker toegang heeft tot de persoonsgegevens, is tot geheimhouding verplicht, via een contract of de wet. Toegang is beperkt tot wie die nodig heeft voor de dienst. Dakscan geeft persoonsgegevens alleen aan anderen als de klant dat opdraagt of als de wet dat verplicht.

9Beveiliging

Dakscan neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen. Daarbij houdt Dakscan rekening met de stand van de techniek, de kosten en de risico's voor betrokkenen (artikel 32 AVG). Daartoe horen in elk geval:

• versleutelde verbindingen tussen de app, de widget, de database en Dakscan;
• scheiding tussen klanten: elke vraag aan de database gaat alleen over de gegevens van de eigen organisatie;
• persoonlijke logins en rollen, zodat iemand alleen ziet wat hij nodig heeft;
• back-ups met een herstelvenster van 7 dagen;
• de andere maatregelen in bijlage 2.

Dakscan mag maatregelen aanpassen, zolang het beveiligingsniveau niet daalt. Volledige beveiliging bestaat niet. Dakscan zorgt voor een niveau dat past bij het risico.

10Subverwerkers

• De klant geeft Dakscan algemene schriftelijke toestemming om subverwerkers in te schakelen (artikel 28 lid 2 AVG). De huidige subverwerkers staan in bijlage 1.
• Wil Dakscan een subverwerker toevoegen of vervangen, dan laat Dakscan dat de klant ten minste 30 dagen vooraf per e-mail weten. De klant kan binnen die termijn met redenen bezwaar maken. Vinden we samen geen oplossing, dan kan de klant opzeggen tegen de datum waarop de wijziging ingaat.
• Dakscan legt elke subverwerker dezelfde verplichtingen op als in deze overeenkomst (artikel 28 lid 4 AVG). Dakscan blijft tegenover de klant volledig aansprakelijk voor de subverwerker.

11Doorgifte buiten de EER

Uitgangspunt is dat Dakscan persoonsgegevens binnen de EER opslaat. Een deel van de subverwerkers is een Amerikaans bedrijf. Ook als de gegevens in de EU staan, kan zo'n bedrijf er vanuit de Verenigde Staten bij, bijvoorbeeld voor beheer of support. Dat telt als doorgifte buiten de EER. Doorgifte naar een land buiten de EER gebeurt alleen als de AVG dat toestaat (artikelen 44 tot en met 49). Bijvoorbeeld op grond van een adequaatheidsbesluit van de Europese Commissie, of met de standaardcontractbepalingen van de Europese Commissie en aanvullende maatregelen waar nodig. In bijlage 1 staat per subverwerker waar de verwerking plaatsvindt en welke waarborg geldt.

12Bijstand aan de klant

• Rechten van betrokkenen. Krijgt Dakscan een verzoek van een betrokkene, dan stuurt Dakscan dat binnen 5 werkdagen door aan de klant. Dakscan reageert niet zelf inhoudelijk, tenzij de klant dat vraagt. Dakscan helpt de klant om verzoeken binnen de wettelijke termijn af te handelen, zoals bij inzage, correctie, export en verwijdering (hoofdstuk III AVG).
• Beveiliging, datalekken en DPIA. Dakscan helpt de klant bij zijn plichten uit de artikelen 32 tot en met 36 AVG, zoals een gegevensbeschermingseffectbeoordeling (DPIA) of een voorafgaande raadpleging van de Autoriteit Persoonsgegevens, met de informatie die Dakscan heeft.
• Kosten. Bijstand is inbegrepen. Kost een verzoek onevenredig veel tijd, dan spreken we vooraf een redelijke vergoeding af.

13Datalekken

• Dakscan meldt een datalek zonder onredelijke vertraging aan de klant, uiterlijk binnen 24 uur nadat Dakscan het lek heeft ontdekt (artikel 33 lid 2 AVG). Dakscan zegt daarbij wat er gebeurde, wanneer, bij wie het terechtkwam en wat er al is gedaan. Zo heeft de klant tijd om binnen 72 uur bij de Autoriteit Persoonsgegevens te melden.
• Is nog niet alles bekend, dan vult Dakscan de informatie aan zodra dat kan (artikel 33 lid 3 en 4 AVG): de aard van het lek, de soorten gegevens en betrokkenen en hun geschatte aantal, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpersoon.
• Dakscan neemt direct maatregelen om het lek te stoppen en de gevolgen te beperken.
• De klant beslist of het lek wordt gemeld bij de Autoriteit Persoonsgegevens en aan betrokkenen. Dakscan doet dat niet namens de klant, tenzij we dat afspreken.
• Dakscan legt elk datalek vast in een register en helpt de klant bij zijn eigen registratie (artikel 33 lid 5 AVG).

14Informatie en audits

• Dakscan geeft de klant op verzoek alle informatie die nodig is om aan te tonen dat Dakscan deze overeenkomst en artikel 28 AVG naleeft.
• De klant mag maximaal één keer per jaar een audit uitvoeren of laten uitvoeren door een onafhankelijke deskundige, met geheimhoudingsplicht en na een aankondiging van ten minste 30 dagen. Na een datalek of op verzoek van de Autoriteit Persoonsgegevens kan dat vaker of eerder.
• Een audit verstoort de bedrijfsvoering van Dakscan zo min mogelijk en geeft geen toegang tot gegevens van andere klanten.
• De klant betaalt de kosten van de audit. Blijkt dat Dakscan deze overeenkomst op wezenlijke punten niet nakomt, dan betaalt Dakscan de kosten en lost Dakscan de tekortkomingen zo snel mogelijk op.

15Einde en verwijdering

• Zegt de klant zijn betaalde pakket op, dan blijft het account op Gratis bestaan, met alle gegevens. Deze overeenkomst loopt dan door.
• De klant kan zijn aanvragen altijd als CSV downloaden. Wil de klant meer terug, dan vraagt hij dat per e-mail en levert Dakscan een kopie in een gangbaar formaat (artikel 28 lid 3 onder g AVG).
• Wil de klant zijn account opheffen en alle gegevens laten wissen, dan mailt de eigenaar naar hallo@dakscan.app. Dakscan wist de persoonsgegevens dan binnen 30 dagen en bevestigt dat per e-mail. Uit back-ups verdwijnen ze uiterlijk 7 dagen later.
• Moet één persoon uit de gegevens van de klant worden gewist, bijvoorbeeld op verzoek van die persoon, dan mailt de klant naar privacy@dakscan.app. Dakscan doet dat binnen 10 werkdagen, zodat de klant op tijd kan antwoorden.
• Verplicht de wet Dakscan om gegevens langer te bewaren, dan doet Dakscan dat alleen voor dat doel. Deze overeenkomst blijft dan voor die gegevens gelden.

16Aansprakelijk­heid

• Voor de aansprakelijkheid tussen de klant en Dakscan geldt de regeling uit de algemene voorwaarden, ook voor schade die voortkomt uit deze overeenkomst.
• Die regeling laat de rechten van betrokkenen onverlet. Tegenover hen geldt artikel 82 AVG.
• Een boete of last onder dwangsom die de Autoriteit Persoonsgegevens aan een partij oplegt, komt voor rekening van die partij.

17Wijzigingen en overige afspraken

• Verandert de wet of de dienst, dan kan Dakscan deze overeenkomst aanpassen. Dakscan laat dat ten minste 30 dagen vooraf weten. Een wijziging verlaagt de bescherming van persoonsgegevens niet. Gaat de klant niet akkoord, dan kan die opzeggen tegen de ingangsdatum.
• Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de rechter die in de algemene voorwaarden is aangewezen.
• Vragen over deze overeenkomst, een verzoek van een betrokkene of een melding stuur je naar privacy@dakscan.app.

18Bijlage 1: subverwerkers

Dakscan schakelt de volgende subverwerkers in. Wijzigingen kondigen we aan zoals in artikel 10 staat.

Voor een scan vraagt Dakscan openbare registers en kaartdiensten op, met alleen een adres, een pand-id of coördinaten, nooit met een naam, telefoonnummer of e-mailadres. Die partijen zijn geen subverwerker. Ze staan op de pagina Bronnen en licenties.

Foutmeldingen van de app gaan zonder persoonsgegevens naar een dienst in de EU: e-mailadressen, adressen, nummers en IP-adressen haalt de app eruit.

19Bijlage 2: beveiligings­maatregelen

Deze maatregelen gelden naast artikel 9. Dakscan houdt ze bij en past ze aan als de risico's veranderen.

20Bijlage 3: bewaartermijnen

Wat de app zelf doet, elke nacht. Daarnaast wist Dakscan op verzoek, zoals in artikel 15 staat.