Verwerkersovereenkomst

Een studio zet in design2000 gegevens van haar opdrachtgevers: naam, adres en notities bij een ontwerp. Daarmee is de studio verwerkingsverantwoordelijke en zijn wij verwerker. Dit stuk beschrijft wat wij in die rol wel en niet doen, zoals artikel 28 AVG vraagt.

1. Onderwerp en duur

Wij verwerken deze gegevens uitsluitend om de dienst te leveren, zolang het abonnement loopt en de in de voorwaarden genoemde termijn daarna.

2. Wat wij verwerken

Wij verwerken geen bijzondere categorieën persoonsgegevens.

3. Onze instructies

Wij verwerken alleen op instructie van de studio. De instructie is het gebruik van de software zoals die werkt; iets anders doen wij alleen als de studio daar schriftelijk om vraagt, of als de wet ons daartoe verplicht — in dat laatste geval melden wij dat vooraf, tenzij die wet dat verbiedt.

4. Beveiliging

• Verkeer gaat over TLS; wachtwoorden bewaren wij alleen als hash.
• Een ontwerp is alleen te zien voor wie lid is van de studio waar het bij hoort; dat wordt bij elke aanvraag op de server gecontroleerd.
• Rollen: een beheerder regelt abonnement, SSO en medewerkers, een ontwerper alleen de ontwerpen.
• Een studio kan eigen SSO verplicht stellen, zodat wie zij uitschakelt er hier ook niet meer in komt.
• Toegang tot de productiedatabase is beperkt tot <rol/personen>.

5. Subverwerkers

Wij schakelen de partijen in die in de privacyverklaring staan. Voegen wij er een toe, dan laten wij dat <termijn> van tevoren weten, en kan de studio bezwaar maken.

6. Doorgifte buiten de EER

De database staat in een EU-regio. Waar een subverwerker toch buiten de EER verwerkt, gebeurt dat op basis van de standaardcontractbepalingen van de Europese Commissie.

7. Meewerken aan rechten van betrokkenen

Veel kan de studio zelf: medewerkers beheren, ontwerpen aanpassen, verwijderen of exporteren. Lukt het daarmee niet, dan helpen wij binnen een redelijke termijn.

8. Datalekken

Wij melden een inbreuk op de beveiliging zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat wij ervan weten, met wat we op dat moment weten over aard, omvang en maatregelen.

9. Teruggave en verwijdering

Na afloop verwijderen wij de gegevens, behalve wat wij wettelijk moeten bewaren. De studio kan tot dat moment alles exporteren als .tuin.json.

10. Controle

Op verzoek geven wij de informatie die nodig is om naleving aan te tonen. Een audit ter plaatse is mogelijk, ten hoogste eens per jaar, aangekondigd en op kosten van de studio.