Verwerkersovereenkomst

Partijen en rolverdeling

De Klant bepaalt het doel van en de middelen voor de verwerking en is verwerkingsverantwoordelijke. Protiva B.V. (Goudstraat 2, 2718 RC Zoetermeer, KvK 42132675) verwerkt de persoonsgegevens uitsluitend ten behoeve van de Klant en is verwerker. Deze overeenkomst prevaleert boven de overige documenten voor zover het de verwerking van persoonsgegevens betreft.

Onderwerp, aard en doel van de verwerking

De verwerking betreft het beheer van vastgoed- en huurdergegevens namens de Klant. De aard omvat het opslaan, weergeven, ordenen en verwerken van gegevens ten behoeve van objectbeheer, contracten, facturatie en incasso, documentbeheer en AI-analyse. Het doel is het leveren van de in de overeenkomst beschreven dienst.

Duur

De verwerking duurt zolang de overeenkomst van kracht is. Na beëindiging gelden de afspraken over teruggave en verwijdering hieronder.

Soorten persoonsgegevens en categorieën betrokkenen

Afhankelijk van het gebruik door de Klant worden onder meer verwerkt:

• Soorten gegevens: NAW- en contactgegevens, contract- en betaalgegevens, correspondentie, en — waar de Klant dat gebruikt — identiteitsgegevens zoals ID-scans.
• Categorieën betrokkenen: huurders, mede-eigenaren, contactpersonen en leveranciers/belanghebbenden van de Klant.

Verwerking op instructie

Protiva verwerkt persoonsgegevens uitsluitend op basis van de gedocumenteerde instructies van de Klant, zoals vastgelegd in de overeenkomst en het gebruik van het platform, tenzij een wettelijke verplichting anders vereist. In dat geval stelt Protiva de Klant vooraf op de hoogte, voor zover toegestaan.

Geheimhouding

Protiva zorgt dat personen die de persoonsgegevens verwerken tot geheimhouding zijn verplicht en alleen toegang hebben voor zover nodig voor hun werk.

Beveiligingsmaatregelen (art. 32 AVG)

Protiva treft passende technische en organisatorische maatregelen, waaronder:

• Versleuteling van gegevens in rust en onderweg.
• Toegangsbeheer op basis van rollen en het beginsel van minimale rechten.
• Strikte scheiding van klantomgevingen (multi-tenant-isolatie).
• Logging van gevoelige handelingen en periodieke toetsing van de beveiliging.
• Back-ups en maatregelen voor herstel na incidenten.

Subverwerkers

De Klant geeft Protiva algemene toestemming om subverwerkers in te schakelen voor de uitvoering van de dienst, zoals hosting (AWS, eu-central-1), de AI-verwerking van documenten en tekst (Amazon Web Services via Amazon Bedrock, eu-central-1) en diensten voor e-mail, sms en analyse. Protiva legt aan subverwerkers dezelfde verplichtingen op als in deze overeenkomst, en informeert de Klant over voorgenomen wijzigingen zodat de Klant daartegen bezwaar kan maken.

Internationale doorgifte

Alle verwerking vindt plaats binnen de Europese Economische Ruimte. Protiva geeft geen persoonsgegevens door aan landen buiten de EER. Mocht dit in de toekomst toch nodig zijn, dan gebeurt dat uitsluitend met passende waarborgen (zoals de modelcontractbepalingen van de Europese Commissie) en na kennisgeving.

Bijstand aan de verantwoordelijke

Protiva helpt de Klant, rekening houdend met de aard van de verwerking, bij het beantwoorden van verzoeken van betrokkenen (zoals inzage, correctie en verwijdering) en bij verplichtingen rond beveiliging, gegevensbeschermingseffectbeoordelingen (DPIA) en voorafgaande raadpleging.

Datalekken

Bij een inbreuk in verband met persoonsgegevens informeert Protiva de Klant zonder onredelijke vertraging nadat zij daarvan kennis heeft gekregen, met de informatie die de Klant nodig heeft om aan zijn meldplicht te voldoen, en werkt zij mee aan het beperken van de gevolgen.

Controle en audit

Protiva stelt de Klant de informatie ter beschikking die nodig is om naleving van deze overeenkomst aan te tonen, en maakt controles mogelijk — via rapportages en, waar redelijk, audits — met inachtneming van de vertrouwelijkheid en de continuïteit van de dienst.

Teruggave en verwijdering na afloop

Na beëindiging van de overeenkomst verwijdert of retourneert Protiva de persoonsgegevens naar keuze van de Klant, en verwijdert zij bestaande kopieën, tenzij een wettelijke bewaarplicht anders vereist. Documenten kennen een levenscyclus van zeven jaar; identiteitsgegevens (ID-scans) worden aanzienlijk korter bewaard (maximaal circa 30 dagen).