Verwerkersovereenkomst

Deze overeenkomst hoort bij het abonnement op Thothm en regelt, volgens artikel 28 van de Algemene Verordening Gegevensbescherming (AVG), hoe persoonsgegevens in je Thothm-installatie verwerkt worden.

1. Partijen

• De klant, die een Thothm-installatie gebruikt, is verwerkingsverantwoordelijke: hij bepaalt welke gegevens erin staan en waarvoor.
• [in te vullen: bedrijfsnaam], [in te vullen: adres], ondernemingsnummer [in te vullen: ondernemingsnummer], dat Thothm levert, is verwerker.

Gaat het om gegevens van de klanten van de klant, dan is de klant zelf vaak verwerker voor zijn eigen klanten; [in te vullen: bedrijfsnaam] is dan subverwerker. Deze overeenkomst geldt in beide gevallen.

2. Onderwerp en duur

[in te vullen: bedrijfsnaam] host en beheert de Thothm-installatie van de klant: opslag, beschikbaarheid, back-ups en de functies die de klant gebruikt. De verwerking duurt zolang het abonnement loopt, en daarna tot de gegevens volgens artikel 10 gewist zijn. Bijlage 1 beschrijft de verwerking.

3. Alleen in opdracht

[in te vullen: bedrijfsnaam] verwerkt de gegevens alleen op gedocumenteerde instructie van de klant. Die instructies zijn: het gebruik van Thothm zelf (wat de klant invoert, koppelt of exporteert), de instellingen van de installatie, en wat de klant schriftelijk vraagt. [in te vullen: bedrijfsnaam] gebruikt de gegevens niet voor eigen doeleinden, verkoopt ze niet en analyseert ze niet. Een instructie die volgens [in te vullen: bedrijfsnaam] in strijd is met de AVG, meldt [in te vullen: bedrijfsnaam] meteen.

Moet [in te vullen: bedrijfsnaam] gegevens verwerken of verstrekken omdat de wet het vereist, dan meldt [in te vullen: bedrijfsnaam] dat vooraf, tenzij de wet dat verbiedt.

4. Vertrouwelijkheid

Wie bij [in te vullen: bedrijfsnaam] toegang heeft tot de gegevens, is tot geheimhouding verplicht. Toegang tot een installatie gebeurt alleen als het nodig is voor beheer, ondersteuning op vraag van de klant of het oplossen van een storing.

5. Beveiliging

[in te vullen: bedrijfsnaam] neemt passende technische en organisatorische maatregelen volgens artikel 32 AVG. Bijlage 2 en de pagina Beveiliging en privacy beschrijven ze. [in te vullen: bedrijfsnaam] mag de maatregelen aanpassen, zolang het beschermingsniveau niet daalt.

6. Subverwerkers

De klant geeft algemene toestemming voor de subverwerkers in bijlage 3. Een nieuwe subverwerker meldt [in te vullen: bedrijfsnaam] minstens 30 dagen vooraf; de klant kan binnen die termijn met redenen bezwaar maken, en zonder oplossing het abonnement kosteloos opzeggen. [in te vullen: bedrijfsnaam] legt subverwerkers dezelfde verplichtingen op als in deze overeenkomst en blijft verantwoordelijk voor hen.

Integraties die de klant zelf instelt, zoals Microsoft 365, UniFi of NinjaOne, zijn geen subverwerkers van [in te vullen: bedrijfsnaam]: Thothm haalt dan op instructie van de klant gegevens op bij diens eigen accounts.

7. Geen doorgifte buiten de EER

De gegevens worden opgeslagen en verwerkt in de Europese Economische Ruimte. [in te vullen: bedrijfsnaam] geeft ze niet door buiten de EER zonder voorafgaande schriftelijke toestemming van de klant en passende waarborgen volgens hoofdstuk V AVG.

8. Hulp aan de klant

• Rechten van betrokkenen: de klant kan gegevens zelf inzien, aanpassen, exporteren en verwijderen in Thothm. Lukt iets niet, dan helpt [in te vullen: bedrijfsnaam]. Een verzoek dat [in te vullen: bedrijfsnaam] rechtstreeks krijgt, stuurt [in te vullen: bedrijfsnaam] door naar de klant.
• Gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging: [in te vullen: bedrijfsnaam] geeft de informatie die de klant daarvoor redelijkerwijs nodig heeft.

9. Datalekken

[in te vullen: bedrijfsnaam] meldt een inbreuk in verband met persoonsgegevens aan de klant zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat [in te vullen: bedrijfsnaam] ervan op de hoogte is. De melding bevat wat bekend is: de aard van de inbreuk, de betrokken gegevens en personen, de waarschijnlijke gevolgen en de genomen of voorgestelde maatregelen. [in te vullen: bedrijfsnaam] vult ze aan zodra er meer bekend is en helpt de klant bij zijn melding aan de Gegevensbeschermingsautoriteit en aan betrokkenen.

10. Einde van de overeenkomst

Bij het einde van het abonnement kan de klant al zijn gegevens exporteren (functie Volledige export). Daarna wist [in te vullen: bedrijfsnaam] de installatie. Een laatste kopie wordt nog 30 dagen bewaard voor het geval de klant terugkomt, en dan gewist; in de versleutelde back-ups verdwijnen de gegevens na uiterlijk 6 maanden. Op vraag bevestigt [in te vullen: bedrijfsnaam] schriftelijk dat de gegevens gewist zijn.

11. Informatie en audits

[in te vullen: bedrijfsnaam] stelt de informatie ter beschikking die nodig is om aan te tonen dat deze overeenkomst nageleefd wordt. De klant mag, of laat door een onafhankelijke auditor met geheimhoudingsplicht, eenmaal per jaar een audit uitvoeren, na een aankondiging van minstens 30 dagen en op eigen kosten, tenzij een audit nodig is na een datalek of op vraag van een toezichthouder.

12. Aansprakelijkheid

Voor de aansprakelijkheid gelden de voorwaarden van het abonnement, onverminderd artikel 82 AVG.

13. Toepasselijk recht

Op deze overeenkomst is Belgisch recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechtbanken van [in te vullen: gerechtelijk arrondissement]. Bij strijdigheid gaat deze overeenkomst voor op andere afspraken, voor wat de verwerking van persoonsgegevens betreft.

Bijlage 1: de verwerking

Doel	Documentatie van IT-omgevingen, beheer van wachtwoorden en toegang, en de rapportering daarover, voor de klant en diens klanten.
Betrokkenen	Gebruikers van de installatie; medewerkers en contactpersonen van de klant; medewerkers en contactpersonen van de klanten van de klant.
Soorten gegevens	Namen, e-mailadressen, telefoonnummers en functies; accounts en groepen (bv. uit Microsoft 365), licenties, MFA-status en aanmeldingen met tijdstip, IP-adres en locatie; toestellen gekoppeld aan personen (namen, serienummers, IP- en MAC-adressen); wachtwoorden en TOTP-sleutels; documenten en bijlagen die de klant toevoegt; het auditlog (wie wat deed en wanneer, met IP-adres).
Bijzondere gegevens	Niet voorzien. De klant zet geen bijzondere categorieën van persoonsgegevens (artikel 9 AVG) in Thothm.
Bewerkingen	Opslaan, ordenen, raadplegen, bijwerken via integraties, exporteren, back-uppen en wissen.

Bijlage 2: beveiligingsmaatregelen

• Een eigen installatie per klant: eigen systeemgebruiker, processen, database, databasegebruiker en sleutels.
• Wachtwoorden en TOTP-sleutels versleuteld met AES-256-GCM, met een sleutel per installatie; verkeer over HTTPS (TLS 1.2+), met HSTS.
• Tweestapsverificatie (verplicht te maken), aanmelden via OpenID Connect, rollen met rechten per organisatie, en een wachtwoordbevestiging voor het tonen van wachtwoorden.
• Een auditlog van wijzigingen, aanmeldingen en geopende wachtwoorden.
• Hosting in de EU; automatische beveiligingsupdates; een firewall; beheerportaal alleen via VPN met tweestapsverificatie; SSH alleen met sleutels.
• Dagelijkse, versleutelde back-ups naar aparte opslag in België, met geteste restores.
• Volledige export voor de klant en wissen bij het einde van het abonnement.

Bijlage 3: subverwerkers

Subverwerker	Waarvoor	Waar
OVH SAS	Hosting van de servers, de back-ups niet inbegrepen	Frankrijk (EU)
Mollie B.V.	Betalingen van het abonnement (alleen gegevens van de MSP zelf, niet van de documentatie); pas zodra betalen actief is	Nederland (EU)

De back-ups staan op opslag die [in te vullen: bedrijfsnaam] zelf beheert, in België.