Verwerkersovereenkomst (DPA)

1. Partijen, omvang en duur

De zakelijke klant in de aanvaarde Netfleet-bestelling is verwerkingsverantwoordelijke; JOPA Studio, hierboven geïdentificeerd, is verwerker. Deze DPA wordt onderdeel van het contract wanneer daarmee of afzonderlijk schriftelijk, ook elektronisch, aanvaard. Zij dekt dienstverlening en de teruggave-/verwijderperiode. De bevoegde account- of bestelcontactpersoon en contact@jopa.studio zijn de operationele contacten. JOPA Studio’s eigen verantwoordelijke activiteiten staan afzonderlijk in het privacybeleid.

2. Beschrijving van de verwerking

Doelen en handelingen: gegevens hosten, organiseren, raadplegen, bijwerken, exporteren en verwijderen voor offertes, vloot- en chauffeursbeheer, dispatch, boekingen, facturatie en documenten. Betrokkenen zijn gebruikers, medewerkers, chauffeurs, zakelijke contacten, passagiers en boekingscontacten.

Gegevens omvatten namen, contactgegevens, rollen, reizen, boekingen, toewijzingen, kwalificatiedata, financiële gegevens en bestanden. De klant minimaliseert gegevens en documenteert grondslag en waarborgen voor gezondheidsgegevens of andere bijzondere categorieën. Daarvoor zijn uitdrukkelijk afgesproken omvang en waarborgen nodig; een uploadmogelijkheid is op zichzelf geen toestemming.

3. Instructies en vertrouwelijkheid

De verwerker handelt alleen op gedocumenteerde instructies, waaronder contract, toegestaan gebruik en schriftelijke ondersteuning, ook voor doorgiften. Wettelijk verplicht afwijkend verwerken wordt vooraf gemeld, tenzij verboden. De verwerker meldt onmiddellijk wanneer hij een instructie in strijd met gegevensbeschermingsrecht acht.

Bevoegde personen zijn tot vertrouwelijkheid gehouden en hebben alleen taakgebonden toegang. De verantwoordelijke blijft verantwoordelijk voor rechtmatige verzameling, informatie, instructies en verleende gebruikerstoegang.

4. Beveiligingsmaatregelen

JOPA Studio onderhoudt risicogepaste technische en organisatorische maatregelen onder artikel 32 AVG: gescheiden werkruimtes via klantgebonden databasetoegang, rolcontroles, geauthenticeerde sessies, auditsporen voor applicatiewijzigingen, gecontroleerde documenttoegang en versleuteling van herbruikbare integratiegeheimen. Productieverbindingen moeten TLS gebruiken. Personeelstoegang is taakgebonden, vertrouwelijk en wordt ingetrokken zodra zij niet meer nodig is.

Productiehosting gebeurt in de EU op OVHcloud. JOPA Studio onderhoudt beschermde database- en documentback-ups, beperkt toegang, onderzoekt beveiligingsgebeurtenissen, past risicogerichte updates toe, test herstel en beoordeelt maatregelen periodiek en na wezenlijke wijzigingen. Back-ups respecteren de resterende bewaarlimiet van 35 dagen. Maatregelen mogen evolueren zonder de totale bescherming te verminderen. Geen specifieke certificering of ononderbroken beschikbaarheid is gegarandeerd tenzij uitdrukkelijk schriftelijk overeengekomen.

5. Subverwerkers en doorgiften

De verantwoordelijke geeft algemene schriftelijke toestemming voor OVHcloud als onderstaande infrastructuursubverwerker en voor extra subverwerkers die uitdrukkelijk in een aanvaarde bestelling of goedgekeurde wijziging staan. JOPA Studio meldt toevoeging of vervanging minstens 30 dagen vooraf per e-mail met identiteit, taak, gegevens, locaties en doorgiftewaarborgen. De verantwoordelijke kan binnen die termijn op redelijke gegevensbeschermingsgronden bezwaar maken.

Partijen zoeken een alternatief of effectieve waarborgen voordat de nieuwe partij toegang krijgt. Zonder redelijke oplossing kan de verantwoordelijke de getroffen dienst vóór wijziging beëindigen met terugbetaling van het ongebruikte vooruitbetaalde deel. Elke subverwerker krijgt gelijkwaardige verplichtingen; JOPA Studio blijft tegenover de klant verantwoordelijk voor de uitvoering.

Door klanten gekozen mailbox-, route- of betalingskoppelingen worden uitsluitend op gedocumenteerde instructies gebruikt, overeenkomstig de providerinformatie en rol. Een zelfstandig verantwoordelijke provider, bijvoorbeeld voor eigen gereguleerde betaalplichten, wordt daarvoor niet door deze DPA een subverwerker. Een niet-vermelde optionele tool is niet automatisch gemachtigd klantgegevens te ontvangen. Doorgiften buiten de EER vereisen instructies en een geldig mechanisme onder hoofdstuk V; de DPA alleen is geen internationaal doorgifte-instrument.

OVHcloud — GDPR / RGPD

6. Rechten, incidenten en effectbeoordelingen

Rekening houdend met de verwerking helpt de verwerker bij rechtenverzoeken. Verzoeken over klantgegevens worden doorgestuurd zonder namens de klant te antwoorden, tenzij opgedragen of wettelijk vereist.

Een persoonsgegevensinbreuk wordt zonder onredelijke vertraging na kennisname aan de verantwoordelijke gemeld, met bekende aard, getroffen gegevens en personen, waarschijnlijke gevolgen, maatregelen en contactpunt; aanvullingen volgen zodra beschikbaar. De verantwoordelijke beslist over meldingen aan autoriteiten en betrokkenen. De verwerker helpt met beveiliging, effectbeoordelingen en voorafgaande raadpleging op basis van beschikbare informatie.

7. Bewijs en audits

De verwerker stelt informatie beschikbaar om naleving van artikel 28 AVG aan te tonen en staat audits en inspecties door de verantwoordelijke of diens auditor toe en ondersteunt deze. Praktische afspraken over vertrouwelijkheid en planning mogen effectief toezicht of dringend onderzoek niet verhinderen.

8. Teruggave en verwijdering

Naar keuze van de verantwoordelijke geeft JOPA Studio persoonsgegevens na dienstverlening terug of verwijdert ze, inclusief kopieën, tenzij Unie- of lidstaatrecht bewaring vereist. Standaardexport omvat werkruimtegegevens en documenten. Er zijn 30 dagen na effectief diensteinde of bevestigd verwijderverzoek voor export; bewaartoetsing en actieve verwijdering zijn uiterlijk dag 60 voltooid. Eerder handelen volgens toepasselijke rechten of overeengekomen rechtmatige instructies gaat voor.

Back-ups worden niet normaal verwerkt en vervallen binnen nog eens 35 dagen. Verwijderingen worden opnieuw uitgevoerd voordat een herstelde back-up normaal wordt gebruikt. Bij wettelijke bewaring meldt JOPA Studio grondslag, gegevens en termijn aan de verantwoordelijke, beperkt toegang en verwijdert bij afloop. Eigen boekhoudbewijs rechtvaardigt geen bewaring van alle klantgegevens. Op verzoek bevestigt JOPA Studio voltooide verwijdering.

De applicatie kent 30 dagen bedenktijd en een beoordeelde purge, geen automatische wissing op dag 30. JOPA Studio coördineert noodzakelijke abonnementsafsluiting voor een gevraagde purge. Gedeelde identiteiten en abonnementen blijven alleen voor andere actieve bedrijven of een afzonderlijk rechtmatig doel bestaan; klantgebonden gegevens volgen het afgesproken verwijderplan.

9. Verwerkingsbijlage en voorrang

De bovenstaande verwerkingsbeschrijving, beveiliging, subverwerkerstabel en teruggave-/verwijderbepalingen vormen de bijlage bij deze DPA. Extra klantinstructies worden in de bestelling of een aanvaarde schriftelijke wijziging vastgelegd zonder dwingende AVG-bescherming te verminderen. De DPA gaat voor op strijdige dienstvoorwaarden over persoonsgegevens; publicatie alleen bewijst geen aanvaarding door een specifieke klant.

Europese Commissie: standaardcontractbepalingen verantwoordelijke–verwerker