Verwerkersovereenkomst.
Voor klanten van Backdne. Jij bepaalt wat er gebeurt met de persoonsgegevens van je klanten en medewerkers; wij verwerken ze in jouw opdracht, alleen voor de diensten die je gebruikt. Deze overeenkomst hoort bij elk contract met ons (artikel 28 AVG).
Rollen
Jij bent verwerkingsverantwoordelijke. Backdne (Rotterdam, KvK 42082688) is verwerker voor alles wat via de portal, je dashboard en je site loopt: afspraken, aanvragen, facturen, bestellingen, leden, bestanden en de andere modules die je aanzet. Voor onze eigen administratie (jouw contract, onze facturen aan jou) is Backdne zelf verantwoordelijke.
Wat we verwerken
Contact- en adresgegevens, afspraken en bestellingen, facturen en betalingen, berichten en bestanden van je klanten, personeelsgegevens die je in het dashboard bijhoudt, en technische gegevens zoals IP-adressen (na 30 dagen weg). Bijzondere gegevens alleen als jij ze vastlegt (bijvoorbeeld een intake bij online consult); we vragen nooit om een BSN.
Alleen in jouw opdracht
We verwerken persoonsgegevens alleen om de diensten uit je contract te leveren, zoals je ze in het dashboard instelt. We verkopen niets, gebruiken niets voor reclame en trainen er geen AI mee. Verplicht de wet ons tot iets anders, dan melden we dat eerst, tenzij de wet dat verbiedt.
Geheimhouding
Iedereen bij Backdne met toegang heeft geheimhoudingsplicht. Meekijken in je dashboard is standaard alleen lezen, staat in je logboek en gebeurt alleen voor support of op jouw verzoek.
Beveiliging
Versleuteling onderweg (TLS) en in opslag; geheimen en tokens nog eens apart versleuteld per doel. Rijbeveiliging (RLS) scheidt klanten in de database. Tweestapsverificatie voor jou en je team (verplicht te stellen), korte sessies, remmen op openbare koppelingen, dagelijkse versleutelde back-ups (30 dagen), een fouten- en auditlog, en controle van afhankelijkheden bij elke wijziging.
Subverwerkers
We gebruiken de subverwerkers op de lijst (backdne.com/subprocessors) en leggen hun dezelfde plichten op. Een nieuwe subverwerker melden we minstens 30 dagen vooraf per mail; je mag bezwaar maken, en lossen we dat niet op, dan mag je de betreffende dienst kosteloos stoppen.
Rechten van je klanten
In het dashboard exporteer, verbeter en verwijder je zelf de gegevens van een persoon (klantenkaart, aanvragen, mailflows, klantcontact). Komt een verzoek bij ons binnen, dan sturen we het binnen 5 werkdagen door en helpen we waar nodig.
Datalekken
We melden een datalek dat jouw gegevens raakt zonder onnodige vertraging en uiterlijk binnen 36 uur na ontdekking, met wat we weten: wat er gebeurde, welke gegevens en personen, wat we deden en wat jij misschien moet doen. Melden bij de Autoriteit Persoonsgegevens en de betrokkenen is jouw besluit; wij helpen.
Controle
Op verzoek geven we wat nodig is om te laten zien dat we ons eraan houden: deze overeenkomst, de subverwerkerslijst, onze beveiligingsmaatregelen en, zodra beschikbaar, samenvattingen van pentests. Een audit ter plaatse kan eens per jaar op jouw kosten met 30 dagen vooraankondiging, of eerder na een datalek.
Einde van de dienst
Na afloop van het contract kun je 30 dagen lang je gegevens exporteren (CSV, JSON en je logboek). Daarna wissen we ze, ook uit de back-ups binnen de cyclus van 30 dagen, behalve wat we wettelijk moeten bewaren (facturen: 7 jaar).
Aansprakelijkheid en recht
Aansprakelijkheid volgt de voorwaarden van ons contract met jou. Nederlands recht is van toepassing; geschillen gaan naar de rechtbank Rotterdam.