Conceptafspraken over verwerking in opdracht.

De klantorganisatie treedt voor medewerkers- en campagnegegevens doorgaans op als verwerkingsverantwoordelijke. De definitieve juridische entiteit achter Webtoolz.nl treedt als verwerker op. Namen, adressen en tekenbevoegdheid moeten vóór ondertekening worden ingevuld.

De verwerking bestaat uit het hosten, beveiligen en technisch verwerken van gegevens die nodig zijn voor documenten, ontvangers, campagnes, e-mailbezorging, quizpogingen, bevestigingen, auditgebeurtenissen en rapporten. De duur volgt de hoofdovereenkomst en afgesproken verwijdertermijn.

• Naam, e-mailadres en optionele werkgegevens van ontvangers.
• Account- en rolgegevens van organisatieleden.
• Documentmetadata en privé opgeslagen pdf-bestanden.
• Campagnestatussen, verklaring, bevestigingstijd en quizscore.
• Beperkte technische gegevens voor beveiliging en foutonderzoek.

De verwerker verwerkt persoonsgegevens alleen op gedocumenteerde instructie van de klant, voor zover wetgeving geen afwijkende verwerking verplicht. Als een instructie mogelijk in strijd is met privacywetgeving, wordt de klant daar waar toegestaan over geïnformeerd.

Personen met toegang zijn gebonden aan vertrouwelijkheid. De dienst gebruikt onder meer tenantisolatie, server-side autorisatie, privéopslag, tokenhashing, validatie, rate limiting, beveiligingsheaders, auditlogging en idempotente verwerking. Zie de openbare beveiligingspagina voor een begrijpelijke samenvatting.

Voor database, opslag, hosting, transactionele e-mail en betalingen zijn gespecialiseerde leveranciers nodig. De definitieve bijlage moet de actuele subverwerkers, locaties en taken noemen.

De procedure voor voorafgaande kennisgeving, bezwaar en vervanging van een subverwerker moet nog contractueel worden vastgesteld.

De verwerker ondersteunt de klant redelijkerwijs bij verzoeken om inzage, correctie, verwijdering, beperking of overdracht. De klant blijft verantwoordelijk voor beoordeling en antwoord.

Een inbreuk in verband met persoonsgegevens wordt na ontdekking zonder onnodige vertraging aan de klant gemeld, met de beschikbare informatie die nodig is voor beoordeling. Definitieve meldtermijnen, contactpunten en escalatiepaden moeten in de overeenkomst worden ingevuld.

Na beëindiging kan de klant gegevens exporteren binnen de afgesproken periode. Daarna worden gegevens verwijderd of geanonimiseerd volgens instructie, bewaartermijn en toepasselijke verplichtingen, inclusief passende verwerking van back-ups.

De definitieve overeenkomst moet afspraken bevatten over informatieverzoeken, audits, kostenverdeling en doorgifte buiten de Europese Economische Ruimte. Er worden op deze conceptpagina geen locaties of waarborgen verondersteld die nog niet zijn geverifieerd.