Verwerkersovereenkomst. Versie 1.0.

Deze overeenkomst is tussen OnlineChamp, Weidemaat 48, 7943 GT Meppel, vertegenwoordigd door Wijnand Boerma (hierna: OnlineChamp), en de klant die akkoord is gegaan met een offerte die naar deze versie verwijst (hierna: de klant).

De klant is de verwerkingsverantwoordelijke: hij bepaalt waarvoor zijn website gegevens verzamelt. OnlineChamp is de verwerker: wij verwerken die gegevens alleen om de website te bouwen, te hosten, te beheren en te ondersteunen. Deze overeenkomst hoort bij de afspraken in de offerte (de hoofdovereenkomst) en loopt zolang die loopt.

Wat er precies binnenkomt, hangt af van wat de website van de klant doet. Het gaat om:

• Bezoekers die contact opnemen: naam, e-mailadres, telefoonnummer en het bericht of de antwoorden die ze invullen.
• Bezoekers die boeken: naam, contactgegevens, het gekozen tijdstip en eventuele opmerkingen. Opmerkingen kunnen gezondheidsinformatie bevatten als de klant daarom vraagt; dan geldt daarvoor extra zorg.
• Bezoekers die de chat gebruiken: wat ze typen, en de gegevens die ze achterlaten om teruggebeld te worden.
• Gebruikers van het beheer: naam, e-mailadres, rol, wanneer en vanaf welk apparaat ze inloggen, en wat ze wijzigen.
• Iedereen die de website bezoekt: technische gegevens zoals het IP-adres, kort bewaard in logboeken voor beveiliging en foutopsporing.

De klant zorgt dat hij een grondslag heeft voor wat hij verzamelt, en dat zijn privacyverklaring vertelt wat er gebeurt.

OnlineChamp verwerkt de gegevens alleen voor de website en de diensten uit de offerte, en alleen zoals de klant dat wil. We gebruiken ze niet voor onszelf, verkopen ze niet en geven ze niet door, behalve aan de subverwerkers hieronder of als de wet ons daartoe verplicht. In dat laatste geval laten we het de klant weten, tenzij de wet dat verbiedt.

Vindt OnlineChamp dat een instructie van de klant in strijd is met de AVG, dan zeggen we dat meteen.

Iedereen die bij OnlineChamp met de gegevens werkt, is tot geheimhouding verplicht. Toegang tot het beheer van de klant hebben we alleen via een eigen onderhoudsaccount, en alleen als het nodig is voor beheer of ondersteuning. Elke keer dat dat account inlogt of iets wijzigt, staat in het logboek van het beheer, dat de klant zelf kan inzien.

OnlineChamp neemt passende technische en organisatorische maatregelen. Op dit moment zijn dat onder meer:

• Hosting in de Europese Unie (Frankfurt), met versleutelde verbindingen (https, HSTS) tussen bezoeker, website en database.
• Inloggen zonder wachtwoord: met een eenmalige code per mail die tien minuten geldig is, een rem op het aantal pogingen, en een melding bij inloggen vanaf een nieuw apparaat.
• Rollen in het beheer, zodat een gebruiker alleen kan wat bij zijn rol hoort, en een logboek van elke wijziging.
• Limieten op formulieren, chat en inloggen tegen misbruik en spam.
• Beveiligingsheaders en een Content Security Policy tegen het injecteren van scripts.
• Dagelijks bijgewerkte software, met automatische controle op bekende kwetsbaarheden, en periodieke beveiligingsscans.
• Back-ups van de database die veertien dagen terug gaan.
• Een vaste procedure voor incidenten en datalekken.

OnlineChamp mag deze maatregelen aanpassen, zolang het beveiligingsniveau niet omlaag gaat.

De klant geeft OnlineChamp toestemming om deze partijen in te schakelen. Met elk van hen geldt een verwerkersovereenkomst met ten minste dezelfde bescherming als deze.

• Laravel Cloud (Laravel Holdings, VS): hosting, database, opslag van bestanden en back-ups, in de regio Frankfurt.
• OpenAI (VS): het schrijven van antwoorden in de chat en de AI-hulp in het beheer. Wat er naartoe gaat, wordt niet gebruikt om modellen te trainen.
• Resend (VS): het versturen van mails, zoals meldingen van nieuwe berichten en boekingen en de inlogcodes.
• Proton (Zwitserland): de mailbox van OnlineChamp, waar ondersteuningsvragen en meldingen binnenkomen.
• GitHub (VS): de broncode en de teksten van de website.

Gebruikt de website reviews van Google, dan haalt de website die op bij Google; Google is daarvoor zelf verantwoordelijk.

Wil OnlineChamp een subverwerker toevoegen of vervangen, dan melden we dat de klant minstens dertig dagen vooraf per mail. De klant kan binnen die tijd met redenen bezwaar maken; komen we er dan niet uit, dan mag de klant de hoofdovereenkomst opzeggen.

Een deel van de subverwerkers is een Amerikaans bedrijf. Gaan er gegevens naar de Verenigde Staten, dan gebeurt dat alleen met een geldige grondslag uit de AVG, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.

Ontdekt OnlineChamp een beveiligingsincident waarbij gegevens van de klant verloren zijn gegaan of door onbevoegden zijn ingezien, dan melden we dat de klant binnen 24 uur na ontdekking. We vertellen wat er is gebeurd, welke gegevens en hoeveel mensen het raakt, wat de gevolgen kunnen zijn en wat we al gedaan hebben. Wat we nog niet weten, vullen we aan zodra we het weten.

De klant beslist of hij het lek meldt bij de Autoriteit Persoonsgegevens en aan de betrokkenen; OnlineChamp helpt daarbij. OnlineChamp meldt zelf niets bij de AP namens de klant, tenzij de klant daarom vraagt.

Wil een bezoeker of klant van de klant zijn gegevens inzien, laten verbeteren of laten verwijderen, dan kan de klant dat meestal zelf in het beheer. Lukt dat niet, dan helpt OnlineChamp binnen een redelijke termijn. Komt zo'n verzoek bij OnlineChamp binnen, dan sturen we het door naar de klant en handelen we het niet zelf af.

Wat de website van de klant verzamelt, blijft niet onbeperkt staan. Elke nacht verwijdert de website voorgoed:

• berichten via de formulieren (contact en offerte) na 24 maanden, of na de termijn die de klant zelf in het beheer instelt (1 tot 120 maanden);
• afspraken 24 maanden na de afspraak, of na de termijn van de klant;
• berichten die als spam zijn herkend na dertig dagen;
• gesprekken in de chat op de website na negentig dagen;
• gesprekken met de assistent in het beheer na een jaar, zodat ondersteuning tot die tijd kan zien wat er gevraagd is;
• het logboek van wijzigingen in het beheer na een jaar.

De klant kan berichten en afspraken ook eerder zelf verwijderen. Vragen die de klant aan OnlineChamp stelt, verdwijnen twee jaar nadat ze binnenkwamen, zodra ze zijn afgehandeld.

Eindigt de hoofdovereenkomst, dan krijgt de klant op verzoek een export van zijn gegevens. Binnen dertig dagen daarna verwijdert OnlineChamp de gegevens. Wat in back-ups staat, verdwijnt vanzelf binnen veertien dagen daarna.

OnlineChamp geeft de klant op verzoek de informatie die nodig is om te laten zien dat deze overeenkomst wordt nageleefd. Wil de klant een audit laten doen, dan kan dat eens per jaar, door een onafhankelijke deskundige die tot geheimhouding verplicht is, na overleg over het moment en op kosten van de klant.

Voor de aansprakelijkheid onder deze overeenkomst gelden de afspraken en beperkingen uit de hoofdovereenkomst.

Een nieuwe versie van deze overeenkomst staat op deze pagina met een nieuw versienummer en een datum. OnlineChamp mailt de klant minstens dertig dagen voordat een nieuwe versie ingaat. Gaat de klant niet akkoord, dan mag hij de hoofdovereenkomst opzeggen tegen de datum waarop de nieuwe versie zou ingaan.

Op deze overeenkomst is Nederlands recht van toepassing. Geschillen gaan naar de bevoegde rechter in het arrondissement Noord-Nederland.

Vragen over deze overeenkomst? Mail naar [email protected].