Verwerkersovereenkomst. Ondertekend in minuten.

In onze standaardsamenwerking treedt de klant op als verwerkingsverantwoordelijke en DPPAutomate als verwerker. Waar wij een derde partij inschakelen om namens ons te verwerken - bijvoorbeeld onze authenticatieprovider of onze databasehost - treedt die derde partij op als subverwerker. De DPA legt de contractuele relatie tussen verwerkingsverantwoordelijke en verwerker vast en bindt onze subverwerkers via back-to-back-overeenkomsten aan gelijkwaardige verplichtingen. De overeenkomst geldt voor alle persoonsgegevens die de klant ons toevertrouwt via het platform, de API, onze supportkanalen en elke gestructureerde data-import die wij namens de klant verwerken.

De DPA opent met de door Artikel 28(3) vereiste opgaven: het onderwerp (het exploiteren van het Digitaal Productpaspoort-platform voor de klant), de duur (de looptijd van de onderliggende dienstenovereenkomst), de aard en het doel van de verwerking (het opslaan, bevragen en aanbieden van product- en compliancedata), de categorieën persoonsgegevens en categorieën betrokkenen, en de verplichtingen en rechten van de verwerkingsverantwoordelijke. Dit zijn de vijf tegels die elke toezichthouder en inkoopbeoordelaar als eerste scant; we houden ze op de voorpagina van de bijlage, niet weggestopt in een schema, zodat ze vóór ondertekening eenvoudig te verifiëren zijn.

De categorieën betrokkenen zijn doorgaans de eigen medewerkers van de klant die het platform bedienen, de leveranciers van de klant die materiaalverklaringsvragenlijsten beantwoorden, en - alleen waar van toepassing op een regeling binnen de scope - met naam genoemde personen in compliancedocumentatie. De categorieën persoonsgegevens zijn beperkt tot accountidentificatoren, zakelijke contactgegevens en de operationele metadata die nodig is om handelingen in het auditlog toe te schrijven. Wij verwerken geen bijzondere categorieën gegevens, geen strafrechtelijke gegevens en geen gegevens van kinderen. Alles buiten deze lijst vereist een schriftelijke wijziging van de DPA voordat het mag worden verwerkt.

De DPA verleent algemene schriftelijke toestemming voor het gebruik van subverwerkers en somt de actuele set op in een bijlage die realtime op deze pagina hieronder wordt bijgewerkt. We informeren klanten schriftelijk ten minste dertig dagen voordat we een subverwerker toevoegen of vervangen. De klant kan binnen dat venster op redelijke gegevensbeschermingsgronden bezwaar maken; in dat geval draaien we de wijziging terug of geven we de klant, waar de wijziging essentieel is voor de dienstverlening, het recht om het getroffen deel van de diensten zonder boete te beëindigen. Elke subverwerker is gebonden aan gegevensbeschermingsverplichtingen die gelijkwaardig zijn aan de onze.

Ons uitgangspunt is volledige EU-dataresidentie. Persoonsgegevens van klanten worden gehost in Frankfurt met een replica in Amsterdam; in normale operatie routeren we klantdata niet buiten de EU/EER. Waar een subverwerker buiten de EU is gevestigd - bijvoorbeeld onze Amerikaanse authenticatieprovider - wordt de doorgifte beheerst door de EU-modelcontractbepalingen (Uitvoeringsbesluit 2021/914 van de Commissie), Module Twee, aangevuld met een gedocumenteerde Transfer Impact Assessment. De SCC's zijn als bijlage aan de DPA gehecht, zodat de verwerkingsverantwoordelijke de bindende tekst in het eigen medeondertekende exemplaar heeft.

Medewerkers met toegang tot persoonsgegevens van klanten zijn gebonden aan schriftelijke vertrouwelijkheidsverplichtingen die na afloop van hun dienstverband blijven gelden. De technische en organisatorische maatregelen zijn gedocumenteerd in een aparte bijlage. De controleset omvat toegangsbeheer met rolgebaseerde autorisatie en kortlevende tokens, versleuteling onderweg en in rust, netwerksegmentatie, kwetsbaarheidsbeheer, logging en monitoring, en een gedocumenteerd incidentresponsplan. Formele certificeringen (SOC 2, ISO 27001) staan op onze roadmap; de bijlage wordt bijgewerkt zodra de onderliggende controleset wijzigt.

Betrokkenen richten hun rechtenverzoeken aan de verwerkingsverantwoordelijke, niet aan ons. Wordt een verzoek per abuis naar ons gerouteerd, dan sturen we het door naar de klant zonder er zelf naar te handelen. We bieden tooling en gedocumenteerde API's waarmee de verwerkingsverantwoordelijke de rechten op inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar kan honoreren zonder een handmatig supportticket. Waar een verwerkingsverantwoordelijke toch menselijke hulp nodig heeft - bijvoorbeeld om een artefact over meerdere omgevingen te vinden - reageren we binnen de termijn die de verwerkingsverantwoordelijke schriftelijk aangeeft, zonder extra kosten.

We informeren de verwerkingsverantwoordelijke zonder onnodige vertraging over elk datalek dat hun gegevens raakt, en in elk geval binnen vierentwintig uur nadat we ervan op de hoogte zijn. De eerste melding bevat de aard van het lek, de categorieën en het geschatte aantal betrokkenen en records, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. Waar de volledige informatie nog niet beschikbaar is, benoemt de eerste melding het centrale aanspreekpunt en legt die een vervolgritme vast. Ons incidentrespons-draaiboek wordt elk kwartaal herzien en geoefend en is onder NDA beschikbaar voor de verwerkingsverantwoordelijke.

Naleving wordt in eerste instantie aangetoond via onze gedocumenteerde technische en organisatorische maatregelen, onder NDA beschikbaar voor de verwerkingsverantwoordelijke. Formele attestaties door derden (SOC 2 Type II, ISO 27001) staan op onze roadmap. Waar de eigen toezichthouder of het interne ISMS van de verwerkingsverantwoordelijke een audit op locatie of op afstand vereist, faciliteren we één audit per periode van twaalf maanden zonder extra kosten, met een redelijke kostenvergoeding voor aanvullende audits. Audits worden met redelijke aankondiging gecoördineerd en zo uitgevoerd dat de vertrouwelijkheid van andere klanten en de integriteit van de productieomgeving niet in het geding komen.

Bij beëindiging of afloop van de dienstenovereenkomst retourneren of verwijderen we alle persoonsgegevens van de klant binnen dertig dagen na een schriftelijk verzoek van de verwerkingsverantwoordelijke. De verwerkingsverantwoordelijke kiest welke optie geldt. Nadat de gekozen optie is uitgevoerd, geven we een schriftelijk verwijderingscertificaat af waarin de data, de omgevingen en de getroffen systemen worden bevestigd. Back-uptapes en onveranderbare auditlogs worden bewaard gedurende de periode die de onderliggende regelgeving voorschrijft - doorgaans tien jaar voor ESPR - waarna ze volgens hetzelfde gedocumenteerde schema worden verwijderd. Deze bewaarverplichtingen blijven na beëindiging van de overeenkomst van kracht.