Verwerkersovereenkomst (DPA)

De klant is verwerkingsverantwoordelijke voor data van eindgebruikers die via boeking, planning, communicatie en betaalflows wordt verwerkt.

elv8 treedt op als verwerker en verwerkt persoonsgegevens enkel op gedocumenteerde instructies van de verantwoordelijke.

Onderwerp en duur: de verwerking die nodig is om het platform te leveren, voor de duur van de dienstverleningsovereenkomst plus de exportperiode. Aard en doel: hosten, opslaan, tonen, verzenden en verwijderen van gegevens voor boekingen, planning, betalingen, facturatie, communicatie en videocursussen. Soorten gegevens: identificatie- en contactgegevens, boekings- en betaalgegevens, communicatie, technische gegevens en, wanneer de verantwoordelijke dat inschakelt, gezondheidsgegevens (art. 9 AVG). Betrokkenen: klanten, prospecten en medewerkers van de verantwoordelijke.

Aanvaarde productconfiguratie, API-oproepen en supportrichtlijnen vormen de basis van gedocumenteerde instructies.

Als een instructie strijdig is met toepasselijk recht, kan elv8 die weigeren of opschorten en informeert elv8 de verantwoordelijke waar wettelijk toegelaten.

elv8 houdt verwerkingen voldoende auditeerbaar voor de kernprocessen onder deze DPA.

• Geheimhoudingsplicht voor bevoegde medewerkers.
• Technische en organisatorische maatregelen afgestemd op het risico.
• Assistentie bij rechten van betrokkenen en complianceverplichtingen van de verantwoordelijke.
• Ondersteuning bij onderzoek en melding van datalekken.
• Bijstand bij gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging (art. 35-36 AVG).
• elv8 legt elke subverwerker schriftelijk dezelfde verplichtingen op als in deze DPA en blijft volledig aansprakelijk tegenover de verantwoordelijke.
• Teruggave of verwijdering van persoonsgegevens op einde dienstverlening, behoudens wettelijke bewaarplicht.

De verantwoordelijke blijft exclusief verantwoordelijk voor naleving tegenover eigen eindgebruikers.

• Bepalen van rechtsgrond per verwerkingsdoel.
• Voorzien van privacy-informatie en verkrijgen van vereiste toestemmingen.
• Controleren van datakwaliteit en rechtmatigheid van geuploade data.
• Behandelen van eerstelijnsverzoeken van betrokkenen.

Controles evolueren met technische standaarden en risicoprofiel; absolute veiligheid wordt niet gegarandeerd.

• Encryptie tijdens transport en in rust waar van toepassing.
• Toegangsbeheer volgens least-privilege.
• Tenantisolatie en hardening van omgevingen.
• Logging, monitoring en incidentresponsprocedures.

De verantwoordelijke geeft algemene toestemming voor onderstaande subverwerkers en gelijkwaardige vervangers met vergelijkbare waarborgen. De verantwoordelijke kan binnen de kennisgevingstermijn bezwaar maken tegen een nieuwe subverwerker; vinden partijen geen oplossing, dan kan de verantwoordelijke de overeenkomst kosteloos beëindigen vóór de wijziging ingaat.

Deze tabel is de canonieke subverwerkerslijst waarnaar de algemene voorwaarden verwijzen. Materiële wijzigingen in subverwerkers worden ten minste 14 kalenderdagen vooraf gecommuniceerd via contractuele of in-product meldingen.

Waar technisch haalbaar biedt elv8 tools voor export, correctie, beperking en verwijdering.

Ontvangt elv8 rechtstreeks een verzoek over controllerdata, dan kan elv8 de verzoeker doorverwijzen naar de relevante verantwoordelijke.

elv8 informeert de verantwoordelijke over een datalek dat controllerdata raakt zonder onnodige vertraging en uiterlijk binnen 48 uur nadat elv8 er kennis van kreeg, ook als nog niet alle informatie beschikbaar is; aanvullende informatie volgt in fasen.

De melding bevat bekende feiten, vermoedelijke impact, mitigatiestatus en beschikbare herstelacties.

Na beëindiging kan de verantwoordelijke teruggave van data vragen in een beschikbaar exportformaat.

De exportperiode bedraagt 60 dagen na beëindiging. Na definitieve beëindiging wegens schending van de algemene voorwaarden geldt een kortere exportperiode van 30 dagen; bij stopzetting van het platform geldt de overgangsperiode van één maand uit de algemene voorwaarden.

Na afloop van de exportperiode verwijdert elv8 alle controllerdata, inclusief kopieën en back-ups binnen de back-uprotatie, tenzij Unie- of lidstatelijk recht bewaring vereist, en bevestigt elv8 dit op verzoek schriftelijk.

Bij wanbetaling kan toegang onmiddellijk worden geblokkeerd terwijl retentie- en verwijderverplichtingen blijven gelden.

elv8 levert redelijke informatie om naleving van artikel 28 aan te tonen, inclusief samenvattingen van beleid en controles.

On-site audits zijn onderworpen aan voorafgaande kennisgeving, scopeafspraken, vertrouwelijkheid en proportionele kostenterugwinning.

Deze DPA volgt het aansprakelijkheidsmodel en de limieten uit de hoofdvoorwaarden, tenzij dwingend recht anders bepaalt.

Bij conflict tussen DPA en hoofdvoorwaarden over gegevensverwerking, primeert deze DPA uitsluitend voor dat punt.