Verwerkersovereenkomst

1.1 UASI verwerkt persoonsgegevens voor de Klant om de Dienst te leveren: software voor onder meer personeel, rooster, uren, contracten, kassa, bestellingen en cijfers.

1.2 Welke gegevens, van wie, waarvoor en hoe lang staat in Bijlage 1.

1.3 De Klant bepaalt het doel en de middelen van de verwerking en staat ervoor in dat hij een geldige grondslag heeft, ook voor bijzondere persoonsgegevens en het BSN.

2.1 UASI verwerkt de persoonsgegevens alleen op schriftelijke instructie van de Klant. De Overeenkomst, deze verwerkersovereenkomst en de instellingen en handelingen van de Klant in de Dienst gelden als instructie.

2.2 UASI verwerkt de gegevens niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet voor reclame.

2.3 Vindt UASI dat een instructie in strijd is met de AVG, dan meldt zij dat direct aan de Klant.

2.4 Moet UASI op grond van Europees of Nederlands recht gegevens verstrekken, dan meldt zij dat vooraf aan de Klant, tenzij die wet dat verbiedt.

UASI zorgt dat iedereen die namens haar toegang heeft tot de persoonsgegevens tot geheimhouding is verplicht, en alleen toegang krijgt voor zover nodig voor de Dienst, support, een export of verwijdering. Zulke toegang via het beheer van UASI wordt gelogd.

4.1 UASI neemt passende technische en organisatorische maatregelen (artikel 32 AVG), rekening houdend met de aard van de gegevens, waaronder BSN, IBAN, kopieën van identiteitsbewijzen en gegevens over verzuim. De maatregelen staan in Bijlage 3.

4.2 UASI mag de maatregelen aanpassen, zolang het beveiligingsniveau niet lager wordt.

5.1 De Klant geeft UASI algemene toestemming om de subverwerkers uit Bijlage 2 in te schakelen.

5.2 UASI meldt een nieuwe of vervangende subverwerker minstens 30 dagen vooraf per e-mail aan de hoofdgebruiker en op deze pagina. De Klant kan binnen die termijn gemotiveerd bezwaar maken. Komen partijen er niet uit, dan mag de Klant de Overeenkomst opzeggen tegen de ingangsdatum, zonder kosten.

5.3 UASI legt subverwerkers ten minste dezelfde verplichtingen op als in deze verwerkersovereenkomst en blijft tegenover de Klant verantwoordelijk voor hen.

5.4 Diensten die de Klant zelf koppelt op basis van een eigen overeenkomst, zoals Mollie (betalingen op het eigen Mollie-account van de Klant) en Shopify, zijn geen subverwerkers van UASI. UASI wisselt daar alleen gegevens mee uit als de Klant de koppeling aanzet.

UASI slaat de Klantgegevens op in de EU. Gegevens gaan alleen naar een land buiten de Europese Economische Ruimte met passende waarborgen volgens hoofdstuk V AVG, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie. Bijlage 2 noemt per subverwerker de waarborg.

7.1 De Dienst bevat functies om verzoeken van betrokkenen uit te voeren (inzage, correctie, verwijdering). Komt een verzoek bij UASI binnen, dan stuurt zij het zonder onnodige vertraging door aan de Klant en handelt het niet zelf af.

7.2 UASI helpt de Klant op redelijk verzoek bij een gegevensbeschermingseffectbeoordeling (DPIA) en een voorafgaande raadpleging van de Autoriteit Persoonsgegevens.

7.3 Bijstand die buiten de normale Dienst valt en meer dan beperkte tijd kost, mag UASI na overleg tegen redelijk tarief in rekening brengen.

8.1 UASI meldt een inbreuk in verband met persoonsgegevens die de Klant raakt zonder onnodige vertraging, en uiterlijk binnen 48 uur nadat zij die heeft ontdekt, aan de hoofdgebruiker van de Klant.

8.2 De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen, en een contactpersoon. Informatie die later bekend wordt, vult UASI aan.

8.3 De Klant beslist of hij de inbreuk meldt aan de Autoriteit Persoonsgegevens en de betrokkenen. UASI meldt niet zelf namens de Klant, tenzij de Klant daarom vraagt.

8.4 UASI neemt direct maatregelen om de gevolgen te beperken en legt elke inbreuk vast.

9.1 UASI geeft de Klant op verzoek de informatie die nodig is om aan te tonen dat zij deze verwerkersovereenkomst naleeft.

9.2 De Klant mag maximaal eenmaal per jaar, en daarnaast bij een concreet vermoeden van een ernstige tekortkoming, een audit laten uitvoeren door een onafhankelijke deskundige met geheimhoudingsplicht. De Klant kondigt de audit minstens 30 dagen vooraf aan; de audit mag de Dienst en andere klanten niet verstoren.

9.3 De kosten van een audit zijn voor de Klant, tenzij de audit een wezenlijke tekortkoming van UASI aantoont. UASI herstelt gevonden tekortkomingen zo snel mogelijk.

10.1 Na het einde van de Overeenkomst kan de Klant tot 30 dagen per e-mail een export van alle gegevens aanvragen (JSON, met BSN, IBAN en bestanden leesbaar). UASI levert die via een beveiligde weg.

10.2 Uiterlijk 90 dagen na het einde verwijdert UASI alle persoonsgegevens van de Klant en de accounts die alleen bij de Klant horen definitief. Kopieën in back-ups verdwijnen volgens het back-upschema van onze database-leverancier en worden tot die tijd niet gebruikt.

10.3 Op verzoek bevestigt UASI de verwijdering schriftelijk. Gegevens die UASI wettelijk zelf moet bewaren (zoals haar facturen aan de Klant) vallen hier niet onder.

Voor de aansprakelijkheid geldt artikel 15 van de algemene voorwaarden. Dit laat de rechten van betrokkenen op grond van artikel 82 AVG en de verdeling van verantwoordelijkheden die daaruit volgt onverlet.

12.1 Deze verwerkersovereenkomst geldt zolang UASI persoonsgegevens voor de Klant verwerkt. Verplichtingen die naar hun aard doorlopen, blijven daarna gelden.

12.2 Bij strijd met de algemene voorwaarden gaat deze verwerkersovereenkomst voor waar het om persoonsgegevens gaat.

12.3 Wil de Klant een eigen verwerkersovereenkomst gebruiken of deze ondertekend ontvangen, mail dan naar hello@uasi.nl.

Doel: het leveren van de Dienst aan de Klant: personeelsbeheer (dossiers, contracten, rooster, uren, verlof, verzuim), werving, kassa en bestellingen, klant- en cadeaukaarten, inkoop en financiën, projecten en offertes, meldingen en support.

Medewerkers van de Klant: naam, contactgegevens, adres, geboortedatum, BSN, IBAN, kopie van het identiteitsbewijs, contract-, functie- en loongegevens, digitale handtekening, rooster, beschikbaarheid, in- en uitkloktijden (en de locatie op het moment van klokken als de Klant dat aanzet), gewerkte uren, verlof, ziek- en hersteldmeldingen en notities bij verzuim, taken en checklists met eventuele foto’s, account- en pincodegegevens (pincode alleen als hash).

Sollicitanten: naam, contactgegevens, beschikbaarheid, motivatie, cv, notities en status; als de Klant die in het traject vraagt ook BSN, IBAN en kopie identiteitsbewijs.

Gasten en klanten van de Klant: naam, e-mailadres, telefoonnummer, bestellingen, afhaal- of bezorgmoment, betaalstatus, klantkaart- en cadeaukaartgegevens, boekingen, en bij projecten de gegevens van opdrachtgevers.

Gebruikers en contactpersonen: accountgegevens van eigenaren en managers, rollen en rechten met auditlog, en contactgegevens van leveranciers op inkoopfacturen.

Bijzondere en gevoelige gegevens: gegevens over gezondheid voor zover vastgelegd bij verzuim, en het BSN. De Klant legt over gezondheid niet meer vast dan de wet toestaat (in de regel alleen het feit van ziekte en de verwachte duur, geen diagnose).

Bewaartermijnen: zoals de Klant in de Dienst bepaalt, binnen de wettelijke termijnen. Vast ingebouwd: bij afwijzing van een sollicitant worden BSN, IBAN en kopieën van identiteitsbewijs en bankpas direct verwijderd, en de rest van de sollicitatie 4 weken later; na het einde van de Overeenkomst geldt artikel 10.

• Hosting en database in de EU (Frankfurt). Alle verbindingen versleuteld (HTTPS/TLS); de database is versleuteld opgeslagen bij de leverancier.
• BSN en IBAN worden per veld versleuteld opgeslagen (AES-256-GCM), met een sleutel die buiten de database wordt bewaard. Geüploade bestanden zoals kopieën van identiteitsbewijzen, bankpassen, cv’s en contracten worden ook versleuteld opgeslagen.
• Gegevens van verschillende klanten zijn gescheiden: elke rij hoort bij één bedrijf en elke databasevraag van de applicatie is beperkt tot het bedrijf van de gebruiker, met een extra controle die verwijzingen naar gegevens van een ander bedrijf blokkeert. Row level security (RLS) staat aan, zodat de tabellen niet via de openbare database-API van de leverancier bereikbaar zijn.
• Tweestapsverificatie (MFA) is verplicht voor eigenaren en voor iedereen die personeels-, financiële of instellingsgegevens kan zien, en voor het beheer van UASI.
• Wachtwoorden en pincodes alleen als onomkeerbare hash; pincodes worden na herhaalde foute pogingen tijdelijk geblokkeerd.
• Toegang per rol en recht, in te stellen door de Klant. Wijzigingen in rollen en rechten worden gelogd.
• Elke handeling in het beheer van UASI (zoals het bekijken van een bedrijf, een export of beëindiging) komt in een logboek dat alleen aan te vullen is.
• Foutmeldingen worden beperkt gelogd (pagina, technische melding, account en bedrijf) om fouten op te lossen.
• Back-ups volgens het back-upschema van onze database-leverancier.
• Een openbaar beleid voor het melden van kwetsbaarheden (security.txt en de supportpagina).
• Medewerkers en ingeschakelde personen van UASI zijn tot geheimhouding verplicht.