Verwerkersovereenkomst

Begrippen als “persoonsgegevens”, “verwerken”, “betrokkene”, “datalek” en “subverwerker” hebben de betekenis die de AVG eraan geeft.

2.1 DW verwerkt in opdracht van Klant persoonsgegevens uitsluitend voor het leveren van het platform: huuradministratie, servicekosten-afrekeningen, eigenaar- en huurderportalen, onderhoudsbeheer, digitale ondertekening en bijbehorende e-mailcommunicatie.

2.2 Betrokkenen: huurders en medebewoners, eigenaren, leveranciers/contactpersonen en medewerkers van Klant.

2.3 Persoonsgegevens: naam- en contactgegevens, contract- en betaalgegevens (huurprijzen, termijnen, IBAN), geüploade documenten (contracten, facturen, foto's) en portaal-accountgegevens. Bijzondere categorieën (art. 9 AVG) worden niet gevraagd; Klant neemt ze niet onnodig op in vrije velden.

2.4 Deze overeenkomst duurt zolang de platform-overeenkomst duurt.

3.1 DW verwerkt uitsluitend op schriftelijke instructie van Klant; de platform-overeenkomst en het normale gebruik van het platform gelden als die instructie. 3.2 DW meldt het onmiddellijk als een instructie naar haar oordeel in strijd is met de AVG.

Personen die onder gezag van DW persoonsgegevens verwerken zijn tot geheimhouding verplicht.

DW treft passende technische en organisatorische maatregelen, waaronder: versleuteld transport (TLS), versleutelde opslag, gegevensscheiding per klant op databaseniveau (row-level security), tweefactor-authenticatie voor beheerders, rolgebaseerde toegang, dagelijkse back-ups in de EU, logging van beheeracties, rate-limiting op publieke koppelingen en een wachtwoordbeleid van minimaal 10 tekens.

6.1 Klant geeft algemene toestemming voor het inschakelen van subverwerkers; de actuele lijst staat op dwvastgoedservices.nl/subverwerkers (Bijlage 2). 6.2 DW kondigt wijzigingen minimaal 30 dagen vooraf aan; bij gemotiveerd bezwaar zoeken Partijen een oplossing en bij het uitblijven daarvan mag Klant opzeggen per de ingebruikname. 6.3 DW legt subverwerkers dezelfde verplichtingen op als in deze overeenkomst.

Verwerking vindt primair plaats binnen de EER (Frankfurt). Voor zover subverwerkers daarbuiten verwerken, gebeurt dat op basis van de EU-modelcontractbepalingen (SCC's).

DW helpt Klant, rekening houdend met de aard van de verwerking, bij verzoeken van betrokkenen (het platform biedt hiervoor exportfuncties) en bij de verplichtingen uit art. 32–36 AVG, voor zover de informatie bij DW berust.

9.1 DW informeert Klant zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking van een datalek dat (mogelijk) gegevens van Klant raakt, met de informatie die Klant voor de eigen meldplicht nodig heeft. 9.2 Melding aan de Autoriteit Persoonsgegevens en aan betrokkenen blijft de verantwoordelijkheid van Klant.

10.1 DW verstrekt op verzoek de informatie die redelijkerwijs nodig is om naleving aan te tonen. 10.2 Klant mag maximaal éénmaal per jaar, na 30 dagen aankondiging en op eigen kosten, een audit (laten) uitvoeren tijdens kantooruren; DW mag in plaats daarvan een recente onafhankelijke rapportage van haar hostingpartijen aanbieden.

11.1 Na het einde van de platform-overeenkomst kan Klant gedurende 30 dagen alle gegevens exporteren. 11.2 Daarna verwijdert DW alle persoonsgegevens van Klant binnen 90 dagen, behoudens wettelijke bewaarplichten; back-ups vervallen door natuurlijk verloop binnen de retentie.

12.1 Aansprakelijkheid volgt de regeling in de platform-overeenkomst. 12.2 Nederlands recht is van toepassing. 12.3 Bij strijd gaat deze overeenkomst voor wat betreft de verwerking van persoonsgegevens.