Verwerkersovereenkomst
inki-pdf · · maakt deel uit van de algemene voorwaarden
Deze tekst is in het Nederlands en is de bindende versie; op de overeenkomst is Nederlands recht van toepassing. De elektronische handtekening voldoet aan de Europese eIDAS-verordening en heeft rechtsgevolg in de hele EU; de bescherming van persoonsgegevens volgt de Europese AVG (GDPR). Buiten de EU hangt de geldigheid van een elektronische handtekening af van het recht van dat land. De samenvatting hieronder is vertaald ter informatie; bij verschil geldt de Nederlandse tekst.
In het kort
- Jij bepaalt welke documenten je verstuurt en aan wie; wij verwerken de gegevens van je ondertekenaars alleen om die ondertekening uit te voeren.
- Alles staat in de EU. Onze subverwerkers zijn Render (hosting), Microsoft 365 (mail) en Stripe (betaling).
- Documenten worden na de door jou gekozen termijn gewist; het logboek blijft hoogstens zeven jaar als bewijs.
- Bij een datalek informeren wij je zonder onnodige vertraging, uiterlijk binnen 48 uur nadat wij het hebben ontdekt.
1. Partijen en strekking
Deze verwerkersovereenkomst (artikel 28 van de Algemene verordening gegevensbescherming, AVG) geldt tussen de klant van inki-pdf (de verwerkingsverantwoordelijke, hierna "klant") en , , KvK (de verwerker, hierna "inki-pdf"). Zij wordt aangegaan door het aanvaarden van de algemene voorwaarden en geldt zolang inki-pdf persoonsgegevens voor de klant verwerkt.
2. Onderwerp, aard en doel van de verwerking
inki-pdf verwerkt in opdracht van de klant persoonsgegevens om documenten elektronisch te laten ondertekenen: het bewaren en tonen van het document, het versturen van uitnodigingen, codes en herinneringen, het vastleggen van de ondertekening in een logboek, het zegelen van het document en het leveren van het getekende document en het certificaat. Het bewerken van pdf's in de bewerker gebeurt op de pc van de klant en valt buiten deze verwerking.
| Categorieën betrokkenen | Categorieën persoonsgegevens |
|---|---|
| Ondertekenaars (klanten, medewerkers, relaties van de klant), getuigen | Naam, e-mailadres, telefoonnummer (als opgegeven), internetadres, browser, tijdstippen, status, eenmalige code, afbeelding van de handtekening, ingevulde velden, opmerkingen |
| Personen die in de documenten voorkomen | Wat de klant in het document heeft gezet; de aard daarvan bepaalt de klant. Bijzondere persoonsgegevens (zoals gezondheid of BSN) verstuurt de klant alleen als hij daarvoor zelf een grondslag heeft. |
| Medewerkers van de klant (afzenders) | Naam, e-mailadres, bericht, huisstijl |
3. Instructies en verplichtingen van inki-pdf
- inki-pdf verwerkt de persoonsgegevens alleen op basis van de schriftelijke instructies van de klant. De instellingen die de klant in de bewerker en de API kiest (ondertekenaars, bewaartermijn, herinneringen, taal, en zo verder) gelden als instructie. Is een instructie naar het oordeel van inki-pdf in strijd met de AVG, dan meldt inki-pdf dat.
- inki-pdf gebruikt de gegevens niet voor eigen doelen, analyseert de inhoud van documenten niet en deelt ze niet met derden, behalve met de subverwerkers in artikel 5 en waar de wet dat verplicht; in dat laatste geval informeert inki-pdf de klant vooraf, tenzij de wet dat verbiedt.
- Personen die bij inki-pdf toegang hebben tot persoonsgegevens zijn tot geheimhouding verplicht en hebben alleen toegang voor zover nodig voor hun werk.
- inki-pdf helpt de klant, voor zover redelijkerwijs mogelijk, bij het beantwoorden van verzoeken van betrokkenen (inzage, rectificatie, wissen, beperking, overdraagbaarheid, bezwaar), bij een gegevensbeschermingseffectbeoordeling en bij voorafgaande raadpleging van de toezichthouder. Een verzoek van een betrokkene dat rechtstreeks bij inki-pdf binnenkomt, stuurt inki-pdf door naar de klant.
4. Beveiliging
inki-pdf treft passende technische en organisatorische maatregelen (artikel 32 AVG), waaronder:
- versleutelde verbindingen (TLS) voor de website, de bewerker, de API en de tekenpagina;
- hosting in een beveiligd datacenter in de Europese Unie (Frankfurt), met opslag die volgens de hoster is versleuteld;
- persoonlijke, niet te raden tekenlinks; een eenmalige code per e-mail als bevestiging (instelbaar door de klant);
- wachtwoorden alleen als hash; de beheerpagina met wachtwoord en tweestapsverificatie; licentiecontrole per gebruiker;
- een logboek per ondertekening met de vingerafdruk (SHA-256) van elke versie en een cryptografisch zegel op het getekende document, zodat wijzigingen achteraf zichtbaar zijn;
- dagelijkse back-ups, veertien dagen bewaard; automatisch wissen van documenten na de bewaartermijn;
- scheiding tussen de gegevens van verschillende klanten per verzoek en per gebruiker.
5. Subverwerkers
De klant geeft inki-pdf algemene toestemming om subverwerkers in te schakelen. inki-pdf legt die subverwerkers dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de klant verantwoordelijk. Bij ingang van deze overeenkomst zijn dat:
| Subverwerker | Dienst | Locatie |
|---|---|---|
| Render Services, Inc. | Hosting van de server en opslag van verzoeken en back-ups | Datacenter Frankfurt (EU); Amerikaanse onderneming met standaardcontractbepalingen |
| Microsoft Ireland Operations Ltd. (Microsoft 365) | Versturen van e-mail | EU |
| Stripe Payments Europe, Ltd. | Betalingen en facturen van de klant (geen gegevens van ondertekenaars) | Ierland (EU) |
Wil inki-pdf een subverwerker toevoegen of vervangen, dan meldt inki-pdf dat minstens dertig dagen van tevoren per e-mail. De klant kan binnen die termijn gemotiveerd bezwaar maken; komen partijen er niet uit, dan kan de klant de overeenkomst beëindigen tegen het einde van de lopende periode.
6. Doorgifte buiten de EER
inki-pdf bewaart en verwerkt de persoonsgegevens binnen de Europese Economische Ruimte. Voor zover een subverwerker gegevens buiten de EER verwerkt of daar toegang toe heeft, gebeurt dat onder passende waarborgen uit hoofdstuk V AVG, zoals de standaardcontractbepalingen van de Europese Commissie.
7. Datalekken
Ontdekt inki-pdf een inbreuk in verband met persoonsgegevens die de gegevens van de klant raakt, dan informeert inki-pdf de klant zonder onnodige vertraging en uiterlijk binnen 48 uur na ontdekking, met wat op dat moment bekend is: de aard van de inbreuk, de betrokken gegevens en betrokkenen (bij benadering), de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. inki-pdf helpt de klant bij de melding aan de Autoriteit Persoonsgegevens en, waar nodig, aan de betrokkenen. De klant beslist over die meldingen.
8. Controle
inki-pdf stelt op verzoek de informatie beschikbaar die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd (zoals een beschrijving van de maatregelen en de subverwerkers). De klant mag ten hoogste eenmaal per jaar, of na een datalek, een controle laten uitvoeren door een onafhankelijke deskundige die tot geheimhouding verplicht is, na overleg over tijdstip en omvang. De kosten van de controle zijn voor de klant, tenzij blijkt dat inki-pdf deze overeenkomst wezenlijk niet is nagekomen.
9. Bewaren, teruggave en wissen
- Documenten, versies en handtekeningafbeeldingen wist inki-pdf automatisch 7, 14 of 30 dagen na afronding van een verzoek, naar keuze van de klant per verzoek; de klant kan een afgerond verzoek ook eerder wissen. Het getekende document haalt de klant zelf op vóór het einde van die termijn.
- Het logboek met de vingerafdrukken bewaart inki-pdf hoogstens zeven jaar na afronding, als bewijs van de ondertekening en om een exemplaar te kunnen controleren. Dit is een bewaarplicht die voortvloeit uit de aard van de dienst en het belang van de klant bij een bewijsbare handtekening.
- Back-ups worden na veertien dagen overschreven; gegevens kunnen tot die tijd in een back-up staan.
- Na het einde van het abonnement blijven uitstaande verzoeken bereikbaar tot hun bewaartermijn verstrijkt; daarna worden de documenten gewist. Accountgegevens van de klant worden twaalf maanden na het einde gewist, facturen na zeven jaar.
10. Aansprakelijkheid en overig
Voor aansprakelijkheid geldt artikel 11 van de algemene voorwaarden. Bij strijd tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft. Op deze overeenkomst is Nederlands recht van toepassing.