Verwerkersovereenkomst

Voert u in VastgoedVink gegevens in over anderen, zoals huurders, eigenaren of uitvoerende partijen, dan bent u daarvoor verwerkingsverantwoordelijke en zijn wij uw verwerker. Deze overeenkomst legt vast wat wij met die gegevens doen en wat niet. Ze hoort bij uw overeenkomst met VastgoedVink (algemene voorwaarden, artikel 9) en geldt voor elke klant, ook tijdens de proefperiode. U gaat ermee akkoord bij het aanmelden of in het dashboard; de datum en de versie staan bij uw account.

Deel A zijn de standaardcontractbepalingen die de Europese Commissie heeft vastgesteld (Uitvoeringsbesluit (EU) 2021/915), ongewijzigd. Deel B zijn de bijlagen die wij hebben ingevuld: wie de partijen zijn, wat wij verwerken, hoe wij het beveiligen en welke partijen ons daarbij helpen. Deel C zijn aanvullende afspraken. Over de gegevens van uw eigen account leest u in de privacyverklaring.

Deel A. De standaardcontractbepalingen

AFDELING I

Bepaling 1. Doel en toepassingsgebied

a) Het doel van deze standaardcontractbepalingen (hierna “de bepalingen” genoemd) is te zorgen voor de naleving van artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.

b) De in bijlage I vermelde verwerkingsverantwoordelijken en verwerkers hebben met deze bepalingen ingestemd teneinde te zorgen voor de naleving van artikel 28, leden 3 en 4, van Verordening (EU) 2016/679 en/of artikel 29, leden 3 en 4, van Verordening (EU) 2018/1725.

c) Deze bepalingen zijn van toepassing op de verwerking van persoonsgegevens als gespecificeerd in bijlage II.

d) De bijlagen I tot en met IV maken integrerend deel uit van de bepalingen.

e) Deze bepalingen laten de verplichtingen die op de verwerkingsverantwoordelijke rusten krachtens Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 onverlet.

f) Deze bepalingen waarborgen op zichzelf niet de naleving van verplichtingen in verband met internationale doorgiften overeenkomstig hoofdstuk V van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725.

Bepaling 2. Onveranderlijkheid van de bepalingen

a) De partijen verbinden zich ertoe de bepalingen niet te wijzigen, tenzij om informatie aan de bijlagen toe te voegen of de daarin vervatte informatie bij te werken.

b) Dit belet de partijen niet om de in deze bepalingen neergelegde standaardcontractbepalingen op te nemen in een bredere overeenkomst, of om andere bepalingen of aanvullende waarborgen toe te voegen, mits deze niet direct of indirect in strijd zijn met de bepalingen of afbreuk doen aan de grondrechten of fundamentele vrijheden van betrokkenen.

Bepaling 3. Interpretatie

a) Wanneer in deze bepalingen de termen worden gebruikt die zijn gedefinieerd in Verordening (EU) 2016/679 respectievelijk Verordening (EU) 2018/1725, hebben die termen dezelfde betekenis als in die verordening.

b) Deze bepalingen moeten worden gelezen en geïnterpreteerd in het licht van de bepalingen van Verordening (EU) 2016/679 respectievelijk Verordening (EU) 2018/1725.

c) Deze bepalingen mogen niet worden geïnterpreteerd op een wijze die indruist tegen de rechten en verplichtingen waarin Verordening (EU) 2016/679 / Verordening (EU) 2018/1725 voorziet of op een wijze die afbreuk doet aan de grondrechten of fundamentele vrijheden van de betrokkenen.

Bepaling 4. Hiërarchie

In geval van tegenstrijdigheid tussen deze standaardcontractbepalingen en de bepalingen van gerelateerde overeenkomsten tussen de partijen die reeds bestaan op het tijdstip waarop met deze standaardcontractbepalingen wordt ingestemd of die na dat tijdstip worden gesloten, prevaleren deze standaardcontractbepalingen.

Bepaling 5. Docking-bepaling (facultatief)

Niet opgenomen.

DEEL II – VERPLICHTINGEN VAN PARTIJEN

Bepaling 6. Beschrijving van de verwerking(en)

De bijzonderheden van de verwerkingen, en met name de categorieën persoonsgegevens en de doeleinden van de verwerking waarvoor de persoonsgegevens namens de verwerkingsverantwoordelijke worden verwerkt, zijn gespecificeerd in bijlage II.

Bepaling 7. Verplichtingen van de partijen

7.1. Instructies

a) De verwerker verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke, tenzij een op de verwerker van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling hem tot verwerking verplicht. In dat geval stelt de verwerker de verwerkingsverantwoordelijke, voorafgaand aan de verwerking, in kennis van dat wettelijk voorschrift, tenzij de wetgeving dit om gewichtige redenen van algemeen belang verbiedt. De verwerkingsverantwoordelijke kan ook tijdens de verwerking van persoonsgegevens steeds verdere instructies geven. Deze instructies worden altijd schriftelijk vastgelegd.

b) De verwerker stelt de verwerkingsverantwoordelijke onmiddellijk in kennis als de instructies van de verwerkingsverantwoordelijke naar het oordeel van de verwerker inbreuk maken op Verordening (EU) 2016/679 / Verordening (EU) 2018/1725 of de toepasselijke gegevensbeschermingsbepalingen van de Unie of de lidstaten.

7.2. Doelbinding

De verwerker verwerkt de persoonsgegevens uitsluitend voor het specifieke doel of de specifieke doeleinden van de verwerking, zoals beschreven in bijlage II, tenzij hij verdere instructies van de verwerkingsverantwoordelijke krijgt.

7.3. Doel van de verwerking van persoonsgegevens

Verwerking door de verwerker vindt slechts plaats gedurende de in bijlage II vastgestelde tijdspanne.

7.4. Beveiliging van de verwerking

a) De verwerker treft ten minste de in bijlage III gespecificeerde technische en organisatorische maatregelen om de beveiliging van de persoonsgegevens te waarborgen. Dit houdt onder meer in dat de gegevens worden beschermd tegen een inbreuk op de beveiliging die leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot de gegevens, hetzij per ongeluk hetzij onrechtmatig (inbreuk in verband met persoonsgegevens). Bij de beoordeling van het passende beveiligingsniveau houden de partijen naar behoren rekening met de stand van de techniek, de uitvoeringskosten, de aard, de reikwijdte, de context en de doeleinden van de verwerking en de risico’s voor de betrokkenen.

b) De verwerker verleent zijn personeel slechts toegang tot de persoonsgegevens die worden verwerkt voor zover dat strikt noodzakelijk is voor de uitvoering, het beheer en de monitoring van de overeenkomst. De verwerker waarborgt dat de tot het verwerken van de ontvangen persoonsgegevens gemachtigde personen zich ertoe hebben verbonden vertrouwelijkheid in acht te nemen of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden;

7.5. Gevoelige gegevens

Indien de verwerking betrekking heeft op persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, of betrekking heeft op genetische gegevens of biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid of gegevens betreffende strafrechtelijke veroordelingen en strafbare feiten (hierna „gevoelige gegevens” genoemd), voorziet de verwerker in specifieke beperkingen en/of aanvullende waarborgen.

7.6 Documentatie en naleving

a) De partijen kunnen aantonen dat aan deze bepalingen is voldaan.

b) De verwerker behandelt verzoeken van de verwerkingsverantwoordelijke inzake de verwerking van gegevens overeenkomstig deze bepalingen onverwijld en adequaat.

c) De verwerker stelt de verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om aan te tonen dat is voldaan aan de in deze bepalingen vastgestelde verplichtingen die rechtstreeks voortvloeien uit Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725. Op verzoek van de verwerkingsverantwoordelijke staat de verwerker ook regelmatig, of indien er aanwijzingen van niet-naleving zijn, audits toe van de onder deze bepalingen vallende verwerkingsactiviteiten en draagt de verwerker aan die audits bij. Bij het nemen van een beslissing over een toetsing of audit kan de verwerkingsverantwoordelijke rekening houden met relevante certificeringen van de verwerker.

d) De verwerkingsverantwoordelijke kan ervoor kiezen de audit zelf uit te voeren of een onafhankelijke auditor daartoe opdracht te geven. De audits kunnen ook inspecties in de bedrijfsruimten of fysieke faciliteiten van de verwerker omvatten en worden, in voorkomend geval, tijdig aangekondigd.

e) De partijen stellen de in deze bepaling bedoelde informatie, met inbegrip van de resultaten van eventuele audits, op verzoek ter beschikking van de bevoegde toezichthoudende autoriteit/autoriteiten.

7.7. Gebruik van subverwerkers

a) ALGEMENE SCHRIFTELIJKE TOESTEMMING: De verwerker heeft de algemene toestemming van de verwerkingsverantwoordelijke om subverwerkers in dienst te nemen die op een overeengekomen lijst staan. De verwerker stelt de verwerkingsverantwoordelijke ten minste veertien dagen van tevoren specifiek schriftelijk in kennis van voorgenomen wijzigingen van die lijst door toevoeging of vervanging van subverwerkers, zodat de verwerkingsverantwoordelijke voldoende tijd heeft om vóór de indienstneming van de betrokken subverwerker(s) bezwaar te kunnen maken tegen dergelijke wijzigingen. De verwerker verstrekt de verwerkingsverantwoordelijke de informatie die nodig is om deze laatste in staat te stellen zijn recht van bezwaar uit te oefenen.

b) Wanneer de verwerker een subverwerker in dienst neemt voor de uitvoering van specifieke verwerkingen (namens de verwerkingsverantwoordelijke), doet hij dit door middel van een overeenkomst die de subverwerker in wezen dezelfde verplichtingen inzake gegevensbescherming oplegt als die welke op grond van deze bepalingen aan de verwerker worden opgelegd. De verwerker zorgt ervoor dat de subverwerker voldoet aan de verplichtingen die krachtens deze bepalingen en Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 op de verwerker rusten.

c) Op verzoek van de verwerkingsverantwoordelijke verstrekt de verwerker de verwerkingsverantwoordelijke een kopie van een dergelijke subverwerkingsovereenkomst en van alle latere wijzigingen daarvan. Voor zover nodig ter bescherming van bedrijfsgeheimen of andere vertrouwelijke informatie, met inbegrip van persoonsgegevens, kan de verwerker de tekst van de overeenkomst bewerken alvorens de kopie te delen.

d) De verwerker blijft ten opzichte van de verwerkingsverantwoordelijke volledig verantwoordelijk voor de uitvoering van de verplichtingen van de subverwerker overeenkomstig zijn overeenkomst met de verwerker. De verwerker stelt de verwerkingsverantwoordelijke in kennis van elk verzuim van de subverwerker om zijn contractuele verplichtingen na te komen.

e) De verwerker komt met de subverwerker een derdenbeding overeen waarbij - ingeval de verwerker feitelijk is verdwenen, rechtens is opgehouden te bestaan of insolvent is geworden - de verwerkingsverantwoordelijke het recht heeft de overeenkomst met de subverwerker te beëindigen en de subverwerker te gelasten de persoonsgegevens te wissen of terug te geven.

7.8. Internationale doorgiften

a) Doorgifte van gegevens aan een derde land of een internationale organisatie door de verwerker geschiedt uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke of om te voldoen aan een specifieke eis uit hoofde van het Unierecht of het lidstatelijke recht waaraan de verwerker is onderworpen, en vindt plaats in overeenstemming met hoofdstuk V van Verordening (EU) 2016/679 of Verordening (EU) 2018/1725.

b) De verwerkingsverantwoordelijke stemt ermee in dat wanneer de verwerker overeenkomstig bepaling 7.7 een subverwerker in dienst neemt voor het uitvoeren van specifieke verwerkingen (namens de verwerkingsverantwoordelijke) en die verwerkingen een doorgifte van persoonsgegevens in de zin van hoofdstuk V van Verordening (EU) 2016/679 inhouden, de verwerker en de subverwerker de naleving van hoofdstuk V van Verordening (EU) 2016/679 kunnen waarborgen door gebruik te maken van standaardcontractbepalingen die door de Commissie zijn vastgesteld overeenkomstig artikel 46, lid 2, van Verordening (EU) 2016/679, mits aan de voorwaarden voor het gebruik van die standaardcontractbepalingen is voldaan.

Bepaling 8. Bijstand aan de verwerkingsverantwoordelijke

a) De verwerker stelt de verwerkingsverantwoordelijke onverwijld in kennis van elk verzoek dat hij van de betrokkene heeft ontvangen. De verwerker antwoordt niet zelf op het verzoek, tenzij de verwerkingsverantwoordelijke daartoe toestemming heeft gegeven.

b) De verwerker staat de verwerkingsverantwoordelijke bij bij het vervullen van zijn verplichtingen om te reageren op verzoeken van betrokkenen tot uitoefening van hun rechten, en houdt daarbij rekening met de aard van de verwerking. Bij het nakomen van zijn verplichtingen uit hoofde van de punten a) en b) volgt de verwerker de instructies van de verwerkingsverantwoordelijke.

c) De verwerker heeft niet alleen de verplichting de verwerkingsverantwoordelijke bij te staan overeenkomstig bepaling 8, punt b), maar staat de verwerkingsverantwoordelijke ook bij bij het waarborgen van de naleving van de volgende verplichtingen, waarbij rekening wordt gehouden met de aard van de gegevensverwerking en de informatie waarover de verwerker beschikt:

1) de verplichting om een beoordeling uit te voeren van het effect van de beoogde verwerkingen op de bescherming van persoonsgegevens (een “gegevensbeschermingseffectbeoordeling”) wanneer een bepaalde soort verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen;

2) de verplichting om de bevoegde toezichthoudende autoriteit/autoriteiten voorafgaand aan de verwerking te raadplegen wanneer uit een gegevensbeschermingseffectbeoordeling blijkt dat de verwerking een hoog risico zou opleveren indien de verwerkingsverantwoordelijke geen maatregelen neemt om dat risico te beperken,

3) de verplichting om ervoor te zorgen dat persoonsgegevens accuraat en actueel zijn, door de verwerkingsverantwoordelijke onverwijld in te lichten wanneer de verwerker ervan kennis heeft gekregen dat de gegevens die hij verwerkt onjuist of achterhaald zijn.

4) de verplichtingen in artikel 32 van Verordening (EU) 2016/679.

d) De partijen stellen in bijlage III de passende technische en organisatorische maatregelen vast op grond waarvan de verwerker de verwerkingsverantwoordelijke bij de toepassing van deze bepaling moet bijstaan, alsmede de omvang en de omvang van de vereiste bijstand.

Bepaling 9. Kennisgeving van een inbreuk in verband met persoonsgegevens

In het geval van een inbreuk in verband met persoonsgegevens werkt de verwerker samen met de verwerkingsverantwoordelijke en staat hij hem bij opdat de verwerkingsverantwoordelijke kan voldoen aan zijn verplichtingen uit hoofde van de artikelen 33 en 34 van Verordening (EU) 2016/679 of de artikelen 34 en 35 van Verordening (EU) 2018/1725, indien van toepassing, waarbij rekening wordt gehouden met de aard van de verwerking en de informatie waarover de verwerker beschikt.

9.1 Inbreuk in verband met gegevens die door de verwerkingsverantwoordelijke worden verwerkt

In geval van een inbreuk in verband met persoonsgegevens die door de verwerkingsverantwoordelijke worden verwerkt, staat de verwerker de verwerkingsverantwoordelijke bij:

a) bij het zonder onnodige vertraging melden van de inbreuk in verband met persoonsgegevens aan de bevoegde toezichthoudende autoriteit/autoriteiten nadat de verwerkingsverantwoordelijke er kennis van heeft gekregen, indien relevant /(tenzij het onwaarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen);

b) bij het verkrijgen van onderstaande informatie die overeenkomstig artikel 33, lid 3, van Verordening (EU) 2016/679 in de kennisgeving van de verwerkingsverantwoordelijke moet worden vermeld en ten minste omvat:

1) de aard van de inbreuk in verband met persoonsgegevens, waar mogelijk onder vermelding van de categorieën van betrokkenen en persoonsgegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en persoonsgegevensregisters in kwestie;

2) de waarschijnlijke gevolgen van de inbreuk in verband met persoonsgegevens;

3) de maatregelen die de verwerkingsverantwoordelijke heeft voorgesteld of genomen om de inbreuk in verband met persoonsgegevens aan te pakken, waaronder, in voorkomend geval, de maatregelen ter beperking van de eventuele nadelige gevolgen daarvan.

Indien en voor zover al deze informatie niet op hetzelfde moment kan worden verstrekt, bevat de oorspronkelijke kennisgeving de dan beschikbare informatie en wordt verdere informatie vervolgens onverwijld verstrekt zodra deze beschikbaar is.

c) bij het naleven, overeenkomstig artikel 34 van Verordening (EU) 2016/679, van de verplichting om de betrokkene de inbreuk in verband met persoonsgegevens onverwijld mee te delen, wanneer de inbreuk in verband met persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen.

9.2 Inbreuk in verband met gegevens die door de verwerker worden verwerkt

In geval van een inbreuk in verband met persoonsgegevens die door de verwerker worden verwerkt, stelt de verwerker, nadat hij kennis heeft gekregen van de inbreuk, de verwerkingsverantwoordelijke daarvan onverwijld in kennis. Deze kennisgeving bevat ten minste:

a) een beschrijving van de aard van de inbreuk (waar mogelijk onder vermelding van de categorieën betrokkenen en gegevensregisters in kwestie en, bij benadering, het aantal betrokkenen en gegevensregisters in kwestie);

b) de gegevens van een contactpunt waar meer informatie over de inbreuk in verband met persoonsgegevens kan worden verkregen;

c) de waarschijnlijke gevolgen van de inbreuk en de maatregelen die zijn genomen of worden voorgesteld om deze aan te pakken, onder meer om de mogelijke negatieve gevolgen ervan te beperken.

Indien en voor zover al deze informatie niet op hetzelfde moment kan worden verstrekt, bevat de oorspronkelijke kennisgeving de dan beschikbare informatie en wordt verdere informatie vervolgens onverwijld verstrekt zodra deze beschikbaar is.

De partijen vermelden in bijlage III alle andere elementen die door de verwerker moeten worden verstrekt wanneer hij de verwerkingsverantwoordelijke bijstaat bij de naleving van de verplichtingen van de verwerkingsverantwoordelijke uit hoofde van de artikelen 33 en 34 van Verordening (EU) 2016/679.

DEEL III – SLOTBEPALINGEN

Bepaling 10. Niet-naleving van de bepalingen en beëindiging

a) Onverminderd eventuele bepalingen van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 kan de verwerkingsverantwoordelijke, ingeval de verwerker zijn verplichtingen uit hoofde van deze bepalingen niet nakomt, de verwerker opdracht geven de verwerking van persoonsgegevens op te schorten totdat deze aan deze bepalingen voldoet of de overeenkomst wordt beëindigd. Wanneer de verwerker om welke reden dan ook niet aan deze bepalingen kan voldoen, stelt hij de verwerkingsverantwoordelijke daarvan onverwijld in kennis.

b) De verwerkingsverantwoordelijke heeft het recht de overeenkomst te beëindigen voor zover deze de verwerking van persoonsgegevens overeenkomstig deze bepalingen betreft, indien:

1) de verwerkingsverantwoordelijke de verwerking van persoonsgegevens door de verwerker overeenkomstig punt a) heeft opgeschort en de naleving van deze bepalingen niet binnen een redelijke termijn en in elk geval binnen één maand na de opschorting wordt hervat;

2) de verwerker deze bepalingen of zijn verplichtingen uit hoofde van Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725 wezenlijk of voortdurend schendt;

3) de verwerker niet voldoet aan een bindend besluit van een bevoegde rechter of de bevoegde toezichthoudende autoriteit/autoriteiten met betrekking tot zijn verplichtingen uit hoofde van deze bepalingen of Verordening (EU) 2016/679 en/of Verordening (EU) 2018/1725.

c) De verwerker heeft het recht de overeenkomst op te zeggen voor zover het daarbij gaat om de verwerking van persoonsgegevens krachtens deze bepalingen, indien de verwerkingsverantwoordelijke, nadat de verwerker hem er overeenkomstig bepaling 7.1, punt b), van in kennis heeft gesteld dat zijn instructies inbreuk maken op de toepasselijke wettelijke vereisten, aandringt op naleving van de instructies.

d) Na de beëindiging van de overeenkomst wist de verwerker, naar keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens die namens de verwerkingsverantwoordelijke zijn verwerkt en bevestigt hij tegenover de verwerkingsverantwoordelijke dat hij dit heeft gedaan, of zendt hij alle persoonsgegevens terug aan de verwerkingsverantwoordelijke en verwijdert hij bestaande kopieën, tenzij het Unierecht of het lidstatelijke recht de opslag van de persoonsgegevens voorschrijft. Totdat de gegevens zijn gewist of teruggeven, blijft de verwerker ervoor zorgen dat deze bepalingen worden nageleefd

Deel B. De bijlagen

Bijlage I: Lijst van partijen

Verwerkingsverantwoordelijke

1. Naam: de klant, zoals vermeld in zijn account bij VastgoedVink (de onderneming of persoon met een abonnement, met de naam uit de factuurgegevens).
   Adres: het adres uit de factuurgegevens van het account.
   Naam, functie en contactgegevens van de contactpersoon: de houder van het account, met het e-mailadres van het account. Heeft de klant een functionaris voor gegevensbescherming, dan geeft hij die op aan info@vastgoedvink.app.
   Ondertekening en toetredingsdatum: het akkoord van de klant bij het aanmelden, of daarna in het dashboard (elektronisch, artikel 28, lid 9, AVG); de datum en de versie van deze overeenkomst worden in zijn account vastgelegd.

Verwerker

1. Naam: Stone Lion Investment B.V., handelend onder de naam VastgoedVink, ingeschreven bij de Kamer van Koophandel onder nummer 86999850.
   Adres: Marconistraat 3, 7131 PL Lichtenvoorde.
   Naam, functie en contactgegevens van de contactpersoon: Stef Dusseldorp, eigenaar, info@vastgoedvink.app. Er is geen apart telefoonnummer; bij een inbreuk met een hoog risico neemt VastgoedVink zelf telefonisch contact op. VastgoedVink heeft geen functionaris voor gegevensbescherming.
   Ondertekening en toetredingsdatum: door het publiceren van deze versie op vastgoedvink.app/verwerkersovereenkomst; de overeenkomst geldt vanaf het akkoord van de klant.

Bijlage II: Beschrijving van de verwerking

De dienst. VastgoedVink geeft de klant een indicatief overzicht van de wettelijke en verzekeringsgerelateerde keuringsverplichtingen van zijn vastgoedobjecten, op basis van wat de klant invoert en van openbare bronnen (BAG, EP-Online, PDOK). Daarnaast kan de klant inspecties en opnames vastleggen met foto's en handtekeningen, documenten bij een object bewaren en automatisch laten uitlezen, eigenaren registreren en laten meekijken, uitvoerende partijen keuringen toewijzen, eigen afspraken vastleggen, collega's uitnodigen, en herinneringen per e-mail krijgen.

Waarvoor VastgoedVink verwerker is. Alleen voor persoonsgegevens die de klant over anderen invoert of uploadt; hieronder "de gegevens uit bijlage II". Voor het account van de klant en zijn teamleden, het abonnement en de betaling, het logboek van handelingen, de campagnecode bij een aanmelding en de objectgegevens uit openbare registers is VastgoedVink zelf verwerkingsverantwoordelijke; daarvoor geldt de privacyverklaring. Het adres van een object geldt als objectgegeven; zodra het in de dienst is gekoppeld aan een huurder (bij een inspectie, opname of huurcontract), valt die koppeling onder deze bijlage.

Categorieën betrokkenen van wie persoonsgegevens worden verwerkt

• huurders van de objecten van de klant;
• eigenaren van de objecten die de klant beheert;
• uitvoerende partijen, zoals keurders en installateurs, en hun contactpersonen;
• inspecteurs en opnemers;
• personen die de klant uitnodigt als teamlid of objecteigenaar, voor het e-mailadres van de uitnodiging;
• iedereen die voorkomt in een document of op een foto die de klant toevoegt.

Categorieën verwerkte persoonsgegevens

Verwerkte gevoelige gegevens en toegepaste beperkingen of waarborgen

De dienst is niet bedoeld voor gevoelige gegevens in de zin van bepaling 7.5, en niet voor het burgerservicenummer. Hij vraagt er nergens om. De klant kan ze wel zelf invoeren of uploaden, want documenten en vrije tekstvelden bevatten wat de klant erin zet; de dienst herkent of weert ze niet. Gebeurt dat, dan geldt:

• een document dat de klant laat uitlezen, gaat als volledig bestand naar de subverwerker voor de documentanalyse (bijlage IV);
• het bestand van een huurcontract wordt verwijderd zodra de afspraken eruit zijn gelezen (mislukt het uitlezen, dan na 30 dagen); andere documenten blijven bewaard zolang het object in het account staat;
• de toegang is beperkt zoals in bijlage III; op verzoek van de klant verwijdert VastgoedVink zulke gegevens als de klant dat zelf niet kan.

Handtekeningen van huurders staan als afbeelding in afgeschermde opslag. Een afbeelding van een handtekening is geen biometrisch gegeven in de zin van artikel 4, lid 14, AVG. De klant zet geen burgerservicenummers of gevoelige gegevens in de dienst; zo staat het in artikel 9 van de algemene voorwaarden en bij de knoppen voor het uploaden.

Aard van de verwerking

In opdracht van de klant: opslaan; tonen aan de klant en aan wie hij toegang geeft (een teamlid ziet het hele account, een objecteigenaar alleen zijn eigen objecten en kan niets wijzigen, een uitvoerende partij alleen wat de klant haar toewijst); documenten automatisch laten uitlezen door een taalmodel, waarvoor het volledige bestand naar de subverwerker voor de documentanalyse gaat; e-mail versturen namens de dienst (herinneringen aan een uitvoerende partij, de jaarlijkse herinnering voor een eigen afspraak als de klant die aanzet, uitnodigingen); op verzoek een bewijsdossier per object samenstellen, of het als leeslink delen met een ontvanger die de klant zelf kiest (alleen lezen, zonder inloggen, 7, 30 of 90 dagen, door de klant in te trekken; het logboek alleen als de klant dat kiest, en dan zonder e-mailadressen); back-ups maken en zo nodig terugzetten; verwijderen zoals hieronder bij de duur.

Doeleinde(n) waarvoor de persoonsgegevens namens de verwerkingsverantwoordelijke worden verwerkt

Het leveren van de dienst VastgoedVink aan de klant, zoals hierboven beschreven: het bijhouden van de keuringsverplichtingen van zijn objecten, het vastleggen van inspecties, opnames en eigen afspraken, het bewaren en uitlezen van documenten, de samenwerking met eigenaren, uitvoerende partijen en teamleden, de herinneringen, en het bewijsdossier, ook als leeslink.

Duur van de verwerking

Zolang de overeenkomst over VastgoedVink loopt. Daarna:

• verwijdert de klant zijn account zelf (Instellingen, Account verwijderen), dan worden de gegevens per direct verwijderd; daarvoor kan hij alles downloaden;
• loopt de proef of het abonnement af zonder dat de klant zijn account verwijdert, dan blijven de gegevens zes maanden bewaard, zodat de klant kan terugkomen of zijn gegevens kan ophalen; daarna worden ze verwijderd. Dat automatisch verwijderen na zes maanden is nog niet gebouwd en gepland vóór april 2027; tot dan kan de klant zijn account zelf verwijderen of VastgoedVink erom vragen;
• in de back-ups blijven gegevens nog ten hoogste twaalf maanden staan (zie bijlage III).

Tijdens de overeenkomst bepaalt de klant hoe lang hij de gegevens bewaart, met de vaste termijnen uit bijlage III.

Doorgifte buiten de EER

De documentanalyse loopt sinds 7 oktober 2026 via Amazon Web Services EMEA SARL (Luxemburg), met een EU-profiel: het lezen gebeurt alleen in datacenters in de EU, Amazon bewaart de bestanden niet, en de maker van het model (Anthropic) krijgt ze niet. Daarvoor is geen doorgifte buiten de EER nodig.

Verwerking door subverwerkers. Voorwerp, aard en duur staan per subverwerker in bijlage IV.

Bijlage III: Technische en organisatorische maatregelen

Identificatie en autorisatie van gebruikers

• Tweestapsverificatie met een code uit een authenticator-app is verplicht voor elk account vanaf 5 oktober 2026. Zonder die code geeft de database geen gegeven vrij, ook niet aan wie het wachtwoord kent. De regel zit op de tabellen, dus teamleden en objecteigenaren vallen er ook onder.
• Wachtwoorden worden nooit leesbaar opgeslagen, moeten minimaal 12 tekens hebben, en worden gecontroleerd op bekende lekken. Het e-mailadres moet bij het aanmelden worden bevestigd. Een sessie verloopt na 30 dagen zonder gebruik.
• Bij aanmelden, inloggen met een wachtwoord, een nieuw wachtwoord aanvragen en de inloglink voor een uitvoerende partij controleert een captcha (Cloudflare Turnstile) of er een mens achter de computer zit (sinds 12 oktober 2026).
• Een uitvoerende partij logt in met een link per e-mail, zonder wachtwoord en zonder tweede factor, en ziet alleen wat haar is toegewezen.
• Wie zijn authenticator kwijt is, krijgt alleen hulp op een verzoek vanaf het e-mailadres van het account en na een controlevraag; het herstel komt in het logboek van dat account.

Afscherming en gegevensminimalisering

• Toegang per rol, afgedwongen in de database (row-level security op elke tabel). Een objecteigenaar ziet alleen de objecten die de klant aan hem toewijst en kan niets wijzigen. Een uitvoerende partij ziet alleen het adres, de installaties en keuringsdatums binnen haar toewijzing, de eigen afspraken die aan haar gekoppeld zijn, haar eigen bezoeken, en de naam en het e-mailadres van de klant.
• Met de publieke sleutel van de website komt niemand bij gegevens (nagemeten op 23 september 2026 op alle tabellen en buckets). Directe toegang tot de database staat dicht; alleen de HTTPS-API's.
• De serverfuncties controleren zelf de sessie, de rol en de tweede stap, en beantwoorden browserverzoeken alleen van de eigen pagina's.
• Bestanden staan in privé-opslag; de browser krijgt een link die 1 uur geldig is (foto's bij inspecties 24 uur).
• Deelt de klant het bewijsdossier van een object als leeslink, dan werkt die link alleen met een sleutel van 256 bits die alleen in de link zelf staat; VastgoedVink bewaart alleen een afgeleide code. De link verloopt na ten hoogste 90 dagen, de klant kan hem altijd intrekken, en een stuk openen gaat via een link van 60 seconden, alleen voor stukken van dat object. Het logboek gaat alleen mee als de klant dat kiest, en dan zonder e-mailadressen.
• Niet langer bewaren dan nodig: het bestand van een huurcontract wordt na het uitlezen verwijderd; de ruwe uitvoer van het taalmodel wordt na een geslaagde analyse leeggemaakt; een inspectierapport dat niet wordt afgerond, wordt na 60 dagen verwijderd met de foto's; bestanden waar niets meer naar verwijst worden elke maand opgeruimd; foto's worden bij het uploaden verkleind.
• Verwijderen is echt verwijderen. Wie een document verwijdert, verwijdert ook het bestand. Wie een object verwijdert, verwijdert ook de foto's en handtekeningen van de inspecties en opnames van dat object, ook die een teamlid maakte. Wie een inspectierapport verwijdert, verwijdert ook de foto's en handtekeningen daarvan. Wie een uitvoerende partij verwijdert, verwijdert ook haar toegang, haar toewijzingen, de bezoeken die zij meldde en de herinneringen die zij kreeg.
• Het werk blijft bij de klant. Foto's en handtekeningen staan in de opslag van het account van de klant, niet in die van het teamlid dat ze maakte. Vertrekt een teamlid, of verwijdert het het eigen account, dan gaan de inspectierapporten die het bij objecten van de klant maakte op naam van de klant, en kan het teamlid niet meer bij de foto's.
• Geen trackingcookies, geen profielen, geen verkoop van gegevens. De subverwerker voor de documentanalyse gebruikt de bestanden niet om modellen te trainen.

Bescherming tijdens doorgifte en opslag

• Verbindingen lopen via HTTPS, met beveiligingskoppen waaronder HSTS. De scripts op de site host VastgoedVink zelf, met een vastgelegde hash.
• Supabase versleutelt schijven en back-ups (AES-256). Er is bewust geen versleuteling per kolom: wie de database kan bevragen, leest de gegevens leesbaar.
• De wekelijkse back-up buiten Supabase is versleuteld met AES-256-GCM; de sleutel staat niet bij de partij die de back-up bewaart.

Beschikbaarheid en herstel

• Back-ups: dagelijks bij Supabase (zeven dagen bewaard) en wekelijks versleuteld buiten Supabase (de laatste tien, en van elke maand de eerste, twaalf maanden lang), met een automatische hersteltest. De wekelijkse back-up maakt een geplande functie bij Vercel in Dublin; het versleutelde bestand staat bij Google in Europa. Een verwijdering werkt in de back-ups dus met ten hoogste twaalf maanden vertraging door; De back-ups zijn niet toegankelijk voor het dagelijks gebruik van de dienst; VastgoedVink gebruikt ze alleen om te herstellen. Na het terugzetten van een back-up voert VastgoedVink de verwijderingen van na het moment van die back-up opnieuw uit.

Registratie van incidenten, monitoring en verantwoording

• Elke dag een automatische meting die de stand vergelijkt met de dag ervoor (sleutels, instellingen, toegangsregels, serverfuncties, openbare opslag, de leeftijd van de laatste back-up, aantallen, mislukte inlogpogingen). Bij een afwijking volgt een e-mail; is de afwijking geen eigen handeling, dan start het draaiboek voor een datalek.
• Een logboek van alle handelingen in het dashboard, dat niet te wijzigen of te wissen is.
• Elk incident komt in een register, ook als het niet gemeld hoeft te worden.

Beheer en governance

• Beheertoegang ligt bij één persoon, Stef Dusseldorp, met tweestapsverificatie op de beheeraccounts sinds 21 september 2026 en een wachtwoordkluis.
• Een register van geheimen, met vervanging elk half jaar en na verlies van een apparaat.
• Vóór elke uitrol draaien automatische controles (onder meer op sleutels in de website, toegangsregels, de lijst van verwerkers, bronnen van scripts). De productieversie komt uit een aparte tak die alleen met één vaste handeling wordt bijgewerkt, en die handeling draait eerst de controles.
• Schrijfacties op de productiedatabase en uitrol naar productie gebeuren alleen door Stef of met zijn uitdrukkelijke akkoord.
• AI-hulpmiddelen bij het beheer: de gegevens uit bijlage II komen nooit in een sessie met een AI-hulpmiddel. Wie de productiedatabase daarmee leest, leest alleen aantallen en technische velden.
• Een securitycontrole elke maand (eerdere: 29 juli, 14 augustus, 21 augustus, 23 september en 2 oktober 2026, en een geautomatiseerde scan van de wijzigingen op 12 oktober 2026), en een eigen analyse van de dataveiligheid (18 september 2026). Er is een informatiebeveiligingsbeleid (versie 1.0, vastgesteld op 2 oktober 2026), met een securitycontrole elke maand en een jaarlijkse herziening; er is geen ISMS.

Certificering

VastgoedVink heeft geen certificering. De subverwerkers wel, volgens hun eigen pagina's (gelezen op 2 oktober 2026): Supabase SOC 2 Type 2 en ISO 27001; Vercel SOC 2 Type 2 en ISO/IEC 27001:2022; Resend SOC 2 Type 2; Google Workspace ISO 27001, 27017 en 27018 en SOC 1, 2 en 3; Amazon Web Services ISO/IEC 27001:2022 en SOC 1, 2 en 3.

Wat er (nog) niet is

• Persoonsgegevens worden niet gemaskeerd voordat een document wordt uitgelezen. Een teamlid ziet het hele account.
• Geen bewaking dag en nacht. De Content-Security-Policy wordt nog niet afgedwongen, behalve op de pagina van een leeslink. Schijfversleuteling op de beheerlaptop is niet vastgesteld.

Maatregelen voor bijstand aan de verwerkingsverantwoordelijke (bepaling 8 en 9)

• Verzoeken van betrokkenen. De klant ziet de gegevens uit bijlage II in het dashboard en kan eigenaren wijzigen en verwijderen, en uitvoerende partijen, eigen afspraken, documenten, inspectierapporten en objecten verwijderen. Hij kan alle gegevens van zijn account in één bestand downloaden (JSON, zonder de bestanden zelf) en per object een bewijsdossier maken (pdf met overzicht, logboek, keuringsbewijzen en documenten). Een losse opname kan hij nog niet apart verwijderen, alleen met het object of het account.
• Gegevensbeschermingseffectbeoordeling. Op verzoek levert VastgoedVink deze overeenkomst, de beschrijving van risico's en maatregelen uit de eigen analyse, en de gegevens over subverwerkers en doorgifte. Voor een beoordeling door de klant is vooral van belang dat documenten als volledig bestand door een taalmodel worden uitgelezen.
• Inbreuk. Bij een inbreuk op de gegevens uit bijlage II levert VastgoedVink, naast wat bepaling 9.2 noemt: sinds wanneer de inbreuk loopt en wanneer hij is ontdekt, welke soorten betrokkenen het raakt (huurders, eigenaren, uitvoerende partijen), wat VastgoedVink heeft gedaan en nog doet, en wat de klant zelf kan doen. Zie ook deel C, afspraak 3.

Bijlage IV: Lijst van subverwerkers

De verwerkingsverantwoordelijke heeft toestemming gegeven voor uitbesteding aan de volgende subverwerkers (algemene toestemming, bepaling 7.7, punt a):

1. Naam: Supabase Pte. Ltd.
   Adres: 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513.
   Contactpersoon: privacy@supabase.io (volgens de verwerkersovereenkomst van Supabase).
   Beschrijving: database, inloggen, opslag van bestanden en foto's, serverfuncties; dagelijkse back-ups, zeven dagen bewaard. Opslag in Ierland (eu-west-1). Verwerkersovereenkomst: DPA versie 1 van 1 augustus 2026.
2. Naam: Vercel Inc.
   Adres: 440 N Barranca Ave #4133, Covina, CA 91723, Verenigde Staten.
   Contactpersoon: privacy@vercel.com.
   Beschrijving: hosting van website en dashboard, de serverfuncties die onder meer herinneringsmails samenstellen en een leeslink op het bewijsdossier tonen, en de geplande functie die de wekelijkse versleutelde back-up maakt. Serverfuncties in Dublin. Verwerkersovereenkomst: DPA van 31 maart 2026 (Pro-plan).
3. Naam: Plus Five Five, Inc. (Resend)
   Adres: 2261 Market Street #5039, San Francisco, CA 94114, Verenigde Staten.
   Contactpersoon: privacy@resend.com.
   Beschrijving: verzending van e-mail namens de dienst, zoals herinneringen aan uitvoerende partijen en uitnodigingen; bewaart berichten en logs dertig dagen in de Verenigde Staten. Verwerkersovereenkomst: DPA van 31 december 2025.
4. Naam: Google Cloud EMEA Limited
   Adres: 70 Sir John Rogerson's Quay, Dublin 2, Ierland.
   Contactpersoon: het gegevensbeschermingsteam voor Google Workspace, via het formulier support.google.com/a/contact/googlecloud_dpr.
   Beschrijving: bewaart de wekelijkse versleutelde back-up en kan die niet lezen; de e-mail van VastgoedVink, dus ook een bericht van de klant aan info@vastgoedvink.app. Opslag in Europa. Verwerkersovereenkomst: Cloud Data Processing Addendum van 8 juni 2026, geaccepteerd op 2 oktober 2026.
5. Naam: Amazon Web Services EMEA SARL
   Adres: 38 Avenue John F. Kennedy, L-1855 Luxemburg.
   Contactpersoon: de functionaris voor gegevensbescherming, aws-EU-privacy@amazon.com.
   Beschrijving: leest documenten uit die de klant laat analyseren, zoals huurcontracten en keuringsrapporten, als volledig bestand, met een taalmodel van Anthropic dat Amazon in de EU draait (Amazon Bedrock, EU-profiel). Verwerking alleen in EU-regio's; Amazon bewaart de bestanden niet en gebruikt ze niet om modellen te trainen. Verwerkersovereenkomst: AWS Data Processing Addendum, onderdeel van de AWS Service Terms. Sinds 7 oktober 2026; daarvóór Anthropic Ireland, Limited, met verwerking in de Verenigde Staten.

Geen subverwerker voor de gegevens uit bijlage II: Stripe (alleen de betaling van de klant zelf), Cloudflare Turnstile (alleen de controle bij de scan, het aanmelden en het inloggen), TypeSafe (alleen openbare pagina's over wetgeving), OpenStreetMap (kaarttegels die de browser zelf ophaalt), PDOK, Kadaster, EP-Online en 3D BAG (openbare objectinformatie op adres), Postmark (technische rapporten over verzonden e-mail, zonder inhoud), PostHog, Google, Meta en LinkedIn (alleen bezoekers van de openbare pagina's die daar zelf toestemming voor geven, nooit in het dashboard).

Deel C. Aanvullende afspraken

Deze afspraken vullen de bepalingen aan, zoals bepaling 2, punt b), toestaat. Ze gaan er niet tegenin; bij strijd gaan de bepalingen voor (bepaling 4).

1. Totstandkoming. Deze overeenkomst hoort bij de overeenkomst over VastgoedVink en de algemene voorwaarden, en geldt voor elke klant, ook een particuliere verhuurder (verhuren is een economische activiteit, dus de uitzondering voor huishoudelijk gebruik geldt niet), en ook tijdens de proefperiode.
2. Wijzigingen in de bijlagen. VastgoedVink kondigt een wezenlijke wijziging van de bijlagen, waaronder elke voorgenomen nieuwe of vervangende subverwerker, ten minste veertien dagen van tevoren aan, per e-mail aan het adres van het account en met een melding in het dashboard.
3. Inbreuk. De kennisgeving uit bepaling 9.2 gebeurt onverwijld en uiterlijk 48 uur nadat VastgoedVink de inbreuk heeft ontdekt, met wat er dan bekend is, per e-mail aan het adres van het account, en bij een hoog risico ook telefonisch. Voor de gegevens uit bijlage II beslist de klant of hij meldt bij de Autoriteit Persoonsgegevens en of hij de betrokkenen informeert; VastgoedVink levert de feiten en helpt met de tekst.
4. Bezwaar tegen een subverwerker. Maakt de klant binnen veertien dagen bezwaar, dan overleggen partijen. Komen zij er niet uit, dan kan de klant de overeenkomst opzeggen met ingang van de dag waarop de nieuwe subverwerker in dienst zou komen. Opzeggen is in dat geval kosteloos.
5. Verzoeken van betrokkenen. Een verzoek dat bij VastgoedVink binnenkomt, stuurt VastgoedVink onverwijld en uiterlijk binnen vijf werkdagen door naar de klant, per e-mail aan het adres van het account.
6. Kosten van bijstand. Wat het dashboard en de download bieden, is kosteloos. Bijstand die verder gaat, zoals hulp bij verzoeken van betrokkenen, bij een gegevensbeschermingseffectbeoordeling, bij een audit of bij het teruggeven van gegevens op een andere manier, rekent VastgoedVink tegen €125 per uur exclusief btw, met een minimum van één uur, na voorafgaande opgave. Bijstand bij een inbreuk die VastgoedVink of een van zijn subverwerkers heeft veroorzaakt, is kosteloos, en overstappen naar een andere aanbieder ook (artikel 6 van de algemene voorwaarden).
7. Audits. De klant vraagt eerst schriftelijk om de informatie uit bepaling 7.6; VastgoedVink antwoordt met deze overeenkomst en de antwoorden op zijn vragen over beveiliging. Een audit ter plaatse is mogelijk ten hoogste één keer per jaar, behalve na een inbreuk of op last van een toezichthoudende autoriteit. De klant kondigt hem ten minste dertig dagen van tevoren aan, laat hem uitvoeren door zichzelf of door een onafhankelijke auditor die tot geheimhouding is verplicht, en draagt de kosten, waaronder de uren van VastgoedVink tegen het tarief uit afspraak 6.
8. Na beëindiging. De klant kiest zelf: zijn gegevens downloaden en het bewijsdossier maken (teruggeven), en zijn account verwijderen (wissen). Kiest hij niets, dan geldt de termijn van zes maanden uit bijlage II. Op verzoek bevestigt VastgoedVink per e-mail dat de gegevens zijn verwijderd. In de back-ups blijven gegevens passief staan tot het einde van hun bewaartermijn (bijlage III). Wil de klant overstappen naar een andere aanbieder, dan gelden daarnaast de afspraken over overstappen in artikel 6 van de algemene voorwaarden (Dataverordening, artikel 25).

Vragen

Vragen over deze overeenkomst stuurt u naar info@vastgoedvink.app.