Verwerkersovereenkomst

Partijen en rollen

De verwerkingsverantwoordelijke is de accounthouder, of de organisatie namens wie de accounthouder Seratify gebruikt. De verwerker is Serat Media, Titaniumweg 498, 2401 ML Alphen aan den Rijn, KvK-nummer 97857327.

Wat er wordt verwerkt

• Doel: formulieren hosten, antwoorden verzamelen en opslaan, ze tonen aan de verwerkingsverantwoordelijke, ze exporteren, en de e-mails versturen die de verwerkingsverantwoordelijke heeft aangezet.
• Betrokkenen: invullers van de formulieren van de verwerkingsverantwoordelijke, en leden van de werkruimte van de verwerkingsverantwoordelijke.
• Gegevens: alles waar de formulieren van de verwerkingsverantwoordelijke om vragen, zoals namen, contactgegevens en antwoorden. De verwerkingsverantwoordelijke bepaalt dit en is daarvoor verantwoordelijk, ook voor eventuele gevoelige gegevens.
• Duur: zolang de verwerkingsverantwoordelijke Seratify gebruikt, en tot de gegevens zijn verwijderd zoals hieronder beschreven.

Alleen verwerken volgens instructies

We verwerken de gegevens alleen om Seratify te leveren zoals de verwerkingsverantwoordelijke het heeft ingesteld, en nooit voor eigen doeleinden. Zijn we wettelijk verplicht de gegevens op een andere manier te verwerken, dan laten we dat de verwerkingsverantwoordelijke eerst weten, tenzij de wet dat verbiedt.

Geheimhouding

Iedereen bij Serat Media die toegang heeft tot de gegevens, heeft een geheimhoudingsplicht. Die toegang is beperkt tot wat nodig is voor het werk van die persoon.

Beveiligingsmaatregelen

• Versleutelde verbindingen (HTTPS) voor al het verkeer.
• Hosting in de Europese Unie, achter een firewall, met automatische beveiligingsupdates en onderhoudstoegang alleen met sleutels.
• Strikte scheiding tussen werkruimtes: elke opvraging van gegevens is beperkt tot de werkruimte waar de gegevens bij horen.
• Gehashte wachtwoorden, en onomkeerbare hashes voor de kenmerken die worden gebruikt om het aantal antwoorden te beperken.
• Dagelijkse back-ups, die 30 dagen worden bewaard.
• Limieten op het aantal verzoeken, tegen geautomatiseerd misbruik.

Subverwerkers

De verwerkingsverantwoordelijke gaat ermee akkoord dat we de volgende subverwerkers inschakelen. Voor elk van hen gelden verplichtingen die minstens zo streng zijn als die in deze overeenkomst:

• Hetzner Online GmbH (Gunzenhausen, Germany): hosting, opslag en back-ups, in de Europese Unie.
• Mailjet SAS (Paris, France): bezorging van e-mail.

Nieuwe subverwerkers kondigen we minstens 30 dagen van tevoren aan, op deze pagina en per e-mail. De verwerkingsverantwoordelijke kan daartegen om een redelijke reden bezwaar maken. Komen we daar samen niet uit, dan kan de verwerkingsverantwoordelijke de overeenkomst beëindigen door het account te verwijderen.

Hulp aan de verwerkingsverantwoordelijke

Met Seratify kan de verwerkingsverantwoordelijke antwoorden bekijken, exporteren en verwijderen. Zo kan de verwerkingsverantwoordelijke verzoeken van invullers zelf afhandelen. Neemt een invuller rechtstreeks contact met ons op, dan sturen we het verzoek door naar de verwerkingsverantwoordelijke. Ook helpen we bij gegevensbeschermingseffectbeoordelingen (DPIA's) en bij vragen van toezichthouders, voor zover dat redelijkerwijs van ons kan worden verwacht.

Datalekken

Ontdekken we een datalek waarbij gegevens van de verwerkingsverantwoordelijke betrokken zijn, dan melden we dat zonder onredelijke vertraging aan de verwerkingsverantwoordelijke, en uiterlijk binnen 48 uur. We vertellen daarbij wat we weten over de aard van het datalek, de waarschijnlijke gevolgen en de maatregelen die we hebben genomen. De verwerkingsverantwoordelijke beslist of het datalek wordt gemeld aan de toezichthouder en aan de betrokkenen.

Verwijdering aan het einde

Verwijdert de verwerkingsverantwoordelijke antwoorden, formulieren of het account, dan verwijderen we de gegevens direct uit het live systeem en binnen 30 dagen uit de back-ups. We bewaren geen kopieën, tenzij de wet ons daartoe verplicht.

Informatie en audits

We geven de verwerkingsverantwoordelijke de informatie die nodig is om aan te tonen dat we ons aan deze overeenkomst houden. De verwerkingsverantwoordelijke kan dit op eigen kosten laten controleren door een onafhankelijke auditor. Dat moet redelijke tijd van tevoren worden aangekondigd en kan hoogstens één keer per jaar, tenzij er een concrete aanleiding is.

Aansprakelijkheid en toepasselijk recht

De beperkingen van aansprakelijkheid in de gebruiksvoorwaarden zijn van toepassing. Op deze overeenkomst is Nederlands recht van toepassing. Zijn deze overeenkomst en de gebruiksvoorwaarden over persoonsgegevens met elkaar in strijd, dan gaat deze overeenkomst voor.