Juridisch

Verwerkersovereenkomst

Versie van · onderdeel van de algemene voorwaarden

Als je Kwantro gebruikt, verwerken wij persoonsgegevens van jouw medewerkers namens jou. De Algemene verordening gegevensbescherming (AVG, artikel 28) schrijft dan een verwerkersovereenkomst voor. Dit is die overeenkomst. Ze geldt automatisch door het bestellen of gebruiken van de dienst; de eigenaar kan haar in de app (Instellingen → Privacy en gegevens) uitdrukkelijk accepteren en de geaccepteerde versie terugzien. Voor Enterprise-klanten kan daarnaast een getekende versie op maat worden gesloten.

1. Partijen en begrippen

1.1 Verwerkingsverantwoordelijke (hierna: de klant): de onderneming of organisatie die de dienst Kwantro afneemt volgens de algemene voorwaarden.

1.2 Verwerker (hierna: Kwantro): , KvK , .

1.3 Begrippen als persoonsgegevens, verwerking, betrokkene, subverwerker en inbreuk in verband met persoonsgegevens hebben de betekenis uit de AVG. De begrippen dienst, eigenaar, gebruiker, locatie en klantgegevens hebben hier, ook zonder hoofdletter, dezelfde betekenis als in de algemene voorwaarden.

2. Onderwerp en duur

2.1 Kwantro verwerkt in opdracht van de klant de persoonsgegevens die nodig zijn om de dienst te leveren, zoals omschreven in bijlage 1. De klant bepaalt het doel en de middelen van de verwerking en garandeert dat hij de gegevens rechtmatig mag laten verwerken.

2.2 Deze overeenkomst geldt zolang de overeenkomst over de dienst bestaat, en daarna zolang Kwantro nog persoonsgegevens van de klant onder zich heeft.

3. Instructies van de klant

3.1 Kwantro verwerkt de persoonsgegevens uitsluitend op basis van schriftelijke instructies van de klant. De overeenkomst, deze verwerkersovereenkomst en het gebruik van de functies en instellingen van de dienst door de klant gelden als die instructies. Kwantro verwerkt de gegevens niet voor eigen doeleinden en verkoopt ze niet.

3.2 Kwantro mag technische gebruiksgegevens die niet tot personen herleidbaar zijn (zoals aantallen en prestaties) gebruiken om de dienst te beveiligen en te verbeteren.

3.3 Vindt Kwantro dat een instructie in strijd is met de AVG of andere wetgeving, dan laat zij dat de klant direct weten en mag zij de uitvoering opschorten tot de klant de instructie heeft aangepast of bevestigd.

3.4 Is Kwantro wettelijk verplicht persoonsgegevens te verstrekken aan een overheidsinstantie, dan informeert zij de klant vooraf, tenzij de wet dat verbiedt, en beperkt zij de verstrekking tot wat verplicht is.

4. Beveiliging

4.1 Kwantro neemt passende technische en organisatorische maatregelen om de persoonsgegevens te beveiligen tegen verlies en tegen onrechtmatige verwerking, rekening houdend met de stand van de techniek, de kosten, de aard van de gegevens en de risico's. De maatregelen staan in bijlage 2. Kwantro mag ze aanpassen zolang het beveiligingsniveau niet lager wordt.

4.2 De klant is verantwoordelijk voor de beveiliging aan zijn kant: welke gebruikers hij uitnodigt, welke rollen en rechten hij geeft, of hij tweestapsverificatie verplicht stelt, en of gebruikers hun inloggegevens geheimhouden.

5. Subverwerkers

5.1 De klant geeft Kwantro algemene toestemming om subverwerkers in te schakelen. De actuele lijst, met per subverwerker de taak en de vestigingsplaats, staat in de privacyverklaring en geldt als bijlage bij deze overeenkomst.

5.2 Kwantro legt subverwerkers dezelfde verplichtingen op als in deze overeenkomst staan, voor zover van toepassing op hun taak, en blijft tegenover de klant verantwoordelijk voor hun werk.

5.3 Een nieuwe of vervangende subverwerker die persoonsgegevens van de klant verwerkt kondigt Kwantro ten minste 30 dagen vooraf aan per e-mail aan de eigenaar en op de website. De klant kan binnen die termijn gemotiveerd bezwaar maken. Komen partijen er niet uit, dan mag de klant de overeenkomst opzeggen per de datum waarop de subverwerker wordt ingeschakeld; het vooruitbetaalde deel voor de resterende periode wordt terugbetaald.

6. Doorgifte buiten de EER

6.1 De persoonsgegevens worden opgeslagen in de Europese Unie (Ierland); alleen de versleutelde nachtelijke back-up staat bij GitHub (Verenigde Staten), met een sleutel die alleen Kwantro beheert. Verwerking buiten de Europese Economische Ruimte vindt alleen plaats door subverwerkers uit de lijst, met passende waarborgen volgens hoofdstuk V van de AVG: een adequaatheidsbesluit (waaronder het EU-US Data Privacy Framework) of de EU-modelcontractbepalingen, zo nodig met aanvullende maatregelen zoals versleuteling.

6.2 Bij de AI-functies worden alleen de gegevens doorgegeven die voor die ene opdracht nodig zijn (zie bijlage 1).

7. Datalekken

7.1 Kwantro meldt een inbreuk in verband met persoonsgegevens die de gegevens van de klant raakt zonder onredelijke vertraging, en uiterlijk 48 uur na ontdekking, per e-mail aan de eigenaar. De melding bevat, voor zover bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen en een contactpunt. Informatie die nog niet bekend is, volgt zodra ze er is.

7.2 Kwantro ondersteunt de klant bij zijn eventuele melding aan de Autoriteit Persoonsgegevens en aan betrokkenen. De klant beslist zelf of en hoe hij meldt; Kwantro meldt niet namens de klant, tenzij de klant daarom vraagt.

7.3 Kwantro houdt een register bij van inbreuken, de gevolgen en de genomen maatregelen.

8. Rechten van betrokkenen en bijstand

8.1 Ontvangt Kwantro een verzoek van een betrokkene (inzage, correctie, verwijdering, beperking, overdraagbaarheid of bezwaar) dat de gegevens van de klant betreft, dan stuurt zij dat door naar de klant en handelt zij het niet zelf af, tenzij de klant dat vraagt.

8.2 Kwantro helpt de klant met de middelen in de dienst: de klant kan zelf gebruikers toevoegen, wijzigen en verwijderen, gegevens corrigeren, een volledige export maken (JSON) en bewaartermijnen instellen. Waar dat niet volstaat, verleent Kwantro redelijke bijstand. Kost die bijstand onevenredig veel werk, dan mag Kwantro daarvoor een redelijke vergoeding vragen, na overleg.

8.3 Kwantro helpt de klant, waar nodig en redelijk, bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij voorafgaande raadpleging van de toezichthouder, voor zover die betrekking hebben op de dienst.

9. Geheimhouding

9.1 Iedereen die bij Kwantro toegang heeft tot persoonsgegevens van de klant is tot geheimhouding verplicht, op grond van een overeenkomst of de wet. Toegang is beperkt tot wie die nodig heeft voor zijn taak.

9.2 Kwantro kijkt alleen mee in de omgeving van de klant na uitdrukkelijke, tijdelijke toestemming van de eigenaar in de app (alleen-lezen, vastgelegd in het auditlog), of wanneer dat strikt nodig is om een storing of beveiligingsincident te onderzoeken; ook dat wordt vastgelegd.

10. Controle (audit)

10.1 Kwantro stelt de klant alle informatie ter beschikking die nodig is om aan te tonen dat deze overeenkomst wordt nageleefd, waaronder beschrijvingen van de beveiligingsmaatregelen en, als die beschikbaar zijn, rapporten of certificaten van de subverwerkers.

10.2 De klant mag ten hoogste eenmaal per jaar, na schriftelijke aankondiging van ten minste 30 dagen, op eigen kosten een controle, met inbegrip van inspecties, uitvoeren of laten uitvoeren door een door de klant aangewezen, aan geheimhouding gebonden onafhankelijke deskundige. De controle verstoort de dienst voor andere klanten niet en geeft geen toegang tot gegevens van andere klanten. Blijkt uit de controle een tekortkoming, dan herstelt Kwantro die binnen een redelijke termijn.

11. Aansprakelijkheid

11.1 Voor de aansprakelijkheid van partijen onder deze overeenkomst geldt de regeling in de algemene voorwaarden (artikel 17), met dien verstande dat die beperking niet geldt voor zover artikel 82 AVG dat niet toestaat.

11.2 De klant vrijwaart Kwantro voor boetes en aanspraken die het gevolg zijn van het handelen van de klant in strijd met de AVG, waaronder het invoeren van gegevens die hij niet mag laten verwerken.

12. Einde en verwijdering

12.1 Na het einde van de overeenkomst over de dienst kan de klant tot 30 dagen daarna een export van alle gegevens opvragen (via de app of per e-mail). Kwantro verwijdert de persoonsgegevens, inclusief bestanden, 30 dagen na de einddatum, tenzij een wettelijke bewaarplicht geldt (factuurgegevens: 7 jaar).

12.2 Versleutelde back-ups worden na 90 dagen automatisch verwijderd, dus uiterlijk 90 dagen na de verwijdering bevat geen enkele back-up de gegevens meer. Back-ups worden alleen gebruikt voor herstel na een storing en worden niet apart doorzocht.

12.3 Op verzoek bevestigt Kwantro schriftelijk dat de verwijdering is uitgevoerd.

Bijlage 1: de verwerking

Onderwerp	Het leveren van Kwantro: voorraadbeheer per locatie met meerdere gebruikers, inclusief meldingen, rapporten, koppelingen en support.
Doel	Gebruikers van de klant laten inloggen en samenwerken, vastleggen wie welke handeling deed (voorraad, tellingen, taken, bestellingen, uitleningen, goedkeuringen), meldingen en e-mails sturen die gebruikers hebben aangezet, en de klant inzicht en verantwoording geven.
Betrokkenen	Eigenaren, managers en medewerkers van de klant die de app gebruiken; genodigden; eventueel contactpersonen van leveranciers van de klant (naam, e-mailadres) en personen die iets lenen (naam).
Persoonsgegevens	Naam, e-mailadres, taal, rol en eigen rol, toegewezen locaties, instellingen en meldingsvoorkeuren, pushtoken, tijdstip van inloggen, tweestapsverificatie-status; handelingen in de dienst met tijdstip (mutaties, tellingen, taken, bestellingen, uitleningen, goedkeuringen, wijzigingen van instellingen); foto's en bestanden die gebruikers uploaden (pakbonnen, productfoto's, foto's bij verlies, bijlagen) voor zover daar personen op of in staan; de inhoud van notities en vragen aan de assistent, voor zover die persoonsgegevens bevatten.
Geen bijzondere gegevens	De dienst is niet bedoeld voor bijzondere persoonsgegevens, BSN of gegevens van kinderen. De klant voert die niet in.
Verwerkingen	Opslaan, raadplegen, wijzigen, verwijderen, back-uppen, versturen van e-mail en pushmeldingen, exporteren, doorgeven aan de AI-leverancier voor zover een gebruiker een AI-functie gebruikt (pakbon, foto, vraag en de benodigde product- en voorraadgegevens).
Bewaartermijn	Zolang de overeenkomst duurt; voorraadmutaties zo lang als de eigenaar instelt (12 tot 120 maanden of onbeperkt); auditlog 3 jaar; na het einde 30 dagen, back-ups 90 dagen.
Locatie	Europese Unie (Ierland); versleutelde back-ups bij GitHub (VS). Subverwerkers buiten de EER: zie de privacyverklaring.

Bijlage 2: beveiligingsmaatregelen

• Scheiding van klanten: elke tabel heeft een bedrijfssleutel en row level security; toegangsregels worden automatisch getest (database- en API-tests) bij elke wijziging van de software.
• Toegang en authenticatie: accounts alleen op uitnodiging; wachtwoorden als hash; tweestapsverificatie (TOTP), per bedrijf verplicht te stellen, ook voor de beheeromgeving van Kwantro; pincode per apparaat; rollen en rechten per gebruiker en per locatie; inkoopprijzen op kolomniveau afgeschermd.
• Versleuteling: TLS voor alle verbindingen; opslag bij de hostingleverancier versleuteld; back-ups versleuteld (AES-256) met een sleutel die alleen Kwantro beheert.
• Logging en controle: auditlog per bedrijf (instellingen, rollen, leden, koppelingen, meekijken), activiteitenlog van voorraadmutaties, systeemlog van fouten (90 dagen), limieten tegen misbruik (inlogpogingen, formulieren, API).
• Continuïteit: nachtelijke back-up met automatische hersteltest, 90 dagen bewaard; openbare statuspagina; hosting bij leveranciers met eigen certificeringen (Supabase/AWS, Cloudflare).
• Organisatie: minimale toegang voor medewerkers van Kwantro; meekijken alleen met toestemming en alleen-lezen; geheimhouding; schemawijzigingen alleen via gecontroleerde migraties; geheimen niet in de broncode; beveiligingsheaders en een content security policy op website en app.
• Gegevensverwijdering: verwijderen van gebruikers en bedrijven inclusief bestanden; automatische bewaartermijnen (mutaties, auditlog, pushtokens, logs); AVG-export en accountverwijdering door de gebruiker zelf.