Verwerkersovereenkomst

Deze overeenkomst geldt tussen jouw bedrijf (verwerkingsverantwoordelijke) en Theuws Consulting, KVK 71820132 (verwerker). Ze gaat over persoonsgegevens die jij of je medewerkers in Rayonkaart zetten. Ze geldt vanaf je aanmelding, dus ook tijdens de proef, en loopt tot al jouw gegevens gewist zijn.

Het bestand van zaken (open data en handelsregister) valt hier niet onder; daarvoor zijn wij zelf verantwoordelijk. Zie de privacytekst.

Vragen en opmerkingen die je ons via Rayonkaart stuurt, vallen er ook niet onder: die beantwoorden wij als verantwoordelijke (zie de privacytekst). Noem daarin alleen gegevens van zaken of klanten die nodig zijn voor je vraag.

Wat we verwerken en waarom

• Doel: de dienst Rayonkaart leveren: opslaan, tonen, mails versturen namens jou, antwoorden herkennen en exporteren.
• Betrokkenen: je medewerkers, en contactpersonen bij zaken en klanten die in jouw notities of mails voorkomen.
• Gegevens: accounts (naam, e-mailadres); wat je zelf invoert (notities, taken, klantenlijst met bedrijfsnaam, adres en KVK-nummer); verzonden mails en hun status; je mailboxgegevens (afzenderadres en een versleuteld app-wachtwoord).
• Je inbox: om antwoorden, afmeldingen en bounces te herkennen, bekijkt Rayonkaart elke paar minuten van de berichten van de laatste 30 dagen alleen de envelop: afzender, onderwerp en waarop het een antwoord is. Alleen van berichten die horen bij een mail uit Rayonkaart, en van foutmeldingen over niet-bezorgde mail, lezen we de eerste 20 KB om te zien of het een afmelding of bounce is. We bewaren dan alleen de status (beantwoord, afgemeld, bounce), niet de inhoud. Andere berichten openen en bewaren we niet.

Afspraken

• We verwerken alleen op jouw instructie, zoals vastgelegd in deze overeenkomst en in wat je in Rayonkaart instelt. Vinden we een instructie in strijd met de AVG, dan zeggen we dat direct.
• Iedereen die bij ons toegang heeft, heeft een geheimhoudingsplicht.
• Beveiliging: gescheiden toegang per organisatie in de database (bij elke wijziging getest), versleutelde mailboxwachtwoorden (AES-256-GCM), https, wachtwoorden van minstens 10 tekens, nachtelijke back-ups en bijgehouden software.
• Subverwerkers: je geeft toestemming voor Cloudflare (netwerk en beveiliging, VS) en Google Workspace (systeemmails zoals uitnodigingen aan je medewerkers, VS). Voor beide gelden het EU-VS Data Privacy Framework en/of standaardcontractbepalingen, en ze zijn aan dezelfde plichten gebonden. De server en database draaien op onze eigen hardware in Nederland.
• Nieuwe subverwerkers melden we 30 dagen vooraf per mail. Ben je het oneens, dan mag je bezwaar maken of kosteloos opzeggen.
• Anthropic (AI) krijgt openbare websiteteksten van zaken en, als je ons een vraag stelt, de tekst van die vraag zonder mailadressen en telefoonnummers. Mollie en Moneybird verwerken alleen je factuurgegevens; daarvoor zijn wij zelf verantwoordelijk.
• Hulp: we helpen je als iemand zijn rechten uitoefent (inzage, wissen, bezwaar), en bij een datalek, een DPIA of een vraag van de toezichthouder.
• Datalek: we melden een datalek binnen 48 uur nadat we het ontdekken, met wat er gebeurd is, welke gegevens het raakt en wat we doen.
• Einde: je kunt je gegevens altijd exporteren. Na het einde van je proef of abonnement wissen we je organisatie binnen 60 dagen (na opzeggen werk je eerst nog 30 dagen door). Back-ups zijn 14 dagen later weg.
• Controle: we geven je de informatie die je nodig hebt om te zien dat we ons aan deze afspraken houden. Je mag één keer per jaar een audit laten doen, met 30 dagen aankondiging. De kosten zijn voor jou, tenzij er een tekortkoming wordt gevonden.
• Aansprakelijkheid zoals in de voorwaarden. Nederlands recht geldt.