Verwerkersovereenkomst

Partijen en rollen

De organisatie die boekt.online gebruikt is verwerkingsverantwoordelijke. De exploitant van boekt.online is verwerker en verwerkt persoonsgegevens uitsluitend voor de uitvoering van de dienst en op gedocumenteerde instructies van de organisatie, waaronder de handelingen die gebruikers in het platform uitvoeren.

Onderwerp en duur

De verwerking omvat het beschikbaar stellen, beveiligen, ondersteunen en onderhouden van boekt.online voor de duur dat de organisatie bestaat en de gegevens nog niet op verzoek zijn verwijderd.

Gegevens en betrokkenen

Het gaat om gegevens van gebruikers, organisaties, opdrachtgevers en contactpersonen: identificatie- en contactgegevens, account- en bedrijfsgegevens, projecten, uren en tijdsblokken, opmerkingen, materialen, facturen en factuurregels, foto's bij urenregistraties, locaties bij de timer als de organisatie die aanzet, en de drie logboeken hierboven.

Betrokkenen zijn de gebruikers van de organisatie, ingehuurde zelfstandigen, werknemers, opdrachtgevers en hun contactpersonen, en andere personen van wie de organisatie gegevens in vrije velden of foto's vastlegt.

Instructies en geheimhouding

De verwerker gebruikt persoonsgegevens niet voor eigen doeleinden. Personen die onder gezag van de verwerker toegang hebben, verwerken ze alleen voor beheer, ondersteuning, beveiliging en foutonderzoek en zijn gehouden aan geheimhouding. Ondersteunende inzage door de platformbeheerder is alleen-lezen en wordt vastgelegd.

Beveiligingsmaatregelen

De dienst gebruikt persoonlijke accounts en rolgebonden toegang, tweestapsverificatie voor platformbeheer, versleutelde opslag van geheime sleutels en boekhoudtokens, HTTPS-verkeer via Cloudflare en logging van beheerinzage en technische koppelingen. De verwerker beoordeelt deze maatregelen passend bij wijzigingen in de dienst en de risico's.

Subverwerkers

De organisatie geeft algemene toestemming voor NovaCloud (serverhosting in Duitsland), Cloudflare (verwerking van internetverkeer en het certificaat), Brevo (verzending van e-mail) en PDOK (omzetten van coördinaten in een adres, zonder naam of andere gegevens). De verwerker legt hun passende privacy- en beveiligingsverplichtingen op en blijft verantwoordelijk voor hun werkzaamheden binnen deze verwerking.

Hulp, incidenten en controle

De verwerker helpt de organisatie, voor zover redelijk en mogelijk, bij verzoeken van betrokkenen, beveiliging, datalekken, effectbeoordelingen en overleg met een toezichthouder. Een inbreuk in verband met persoonsgegevens wordt zonder onredelijke vertraging aan de organisatie gemeld zodra de verwerker daarvan kennis heeft.

De verwerker verstrekt informatie die redelijkerwijs nodig is om naleving aan te tonen. Afspraken over een nadere controle worden zo gemaakt dat veiligheid, geheimhouding en de dienstverlening aan anderen beschermd blijven.

Bewaren en verwijderen

Organisatiegegevens blijven staan zolang de organisatie bestaat; er is geen algemene automatische opruimtaak. API-verzoeklogs worden door de bestaande dagelijkse taak na 90 dagen verwijderd. Locaties bij de timer worden automatisch verwijderd na de bewaartermijn die de organisatie in de instellingen kiest. Voor verwijdering van de organisatie en de overige gegevens bestaat geen zelfbedieningsroute: de organisatiebeheerder dient het verzoek in bij de platformbeheerder.

Na het einde

Na beëindiging verwijdert of retourneert de verwerker persoonsgegevens op verzoek van de organisatie, behalve voor zover een wettelijke verplichting bewaren vereist. Omdat verwijdering niet automatisch plaatsvindt, moet de organisatie dit verzoek uitdrukkelijk via de beheerder laten doen.