Verwerkersovereenkomst

Deze verwerkersovereenkomst (hierna: “DPA”) maakt integraal onderdeel uit van de overeenkomst tussen de Klant (hierna: “Verwerkingsverantwoordelijke”) en Bloqify B.V. (hierna: “Verwerker”) en beschrijft de voorwaarden waaronder Bloqify persoonsgegevens verwerkt namens de Klant, conform artikel 28 van de Algemene Verordening Gegevensbescherming (AVG / GDPR).

1. Onderwerp en duur

Deze DPA is van toepassing zolang Bloqify persoonsgegevens verwerkt in het kader van de hoofdovereenkomst en eindigt automatisch bij beëindiging daarvan, onverminderd de verplichtingen die voortduren na afloop (zoals teruggave of verwijdering van gegevens).

2. Aard en doel van de verwerking

Bloqify verwerkt persoonsgegevens uitsluitend ten behoeve van het leveren, beheren en ondersteunen van het Bloqify-platform aan de Klant. De aard van de verwerking omvat onder meer: opslag, hosting, back-up, toegang, weergave, wijziging en verwijdering.

3. Categorieën betrokkenen en persoonsgegevens

Binnen de dienst worden persoonsgegevens verwerkt van:

• Medewerkers en beheerders van de Klant;
• Eindgebruikers / leden van de Klant (bijvoorbeeld projectleden, deelnemers, klanten van de Klant).

De verwerkte categorieën persoonsgegevens omvatten: naam, e-mailadres, gebruikersrol, taalvoorkeur, door de Klant aangeleverde content en metadata zoals inloggegevens, IP-adres en gebruiksdata.

4. Verplichtingen van de Verwerker

• Bloqify verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Klant, tenzij een wettelijke verplichting anders voorschrijft.
• Personen die toegang hebben tot de persoonsgegevens zijn gebonden aan geheimhouding.
• Bloqify neemt passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen (o.a. TLS-versleuteling, gehashte wachtwoorden, rolgebaseerde toegang, logging, back-ups, pen-test).
• Bloqify assisteert de Klant, voor zover redelijk, bij het voldoen aan verzoeken van betrokkenen en bij haar verplichtingen onder de artikelen 32 tot en met 36 AVG.

5. Sub-verwerkers

De Klant geeft Bloqify een algemene toestemming om voor de uitvoering van de dienst sub-verwerkers in te schakelen. De actuele lijst van sub-verwerkers is:

• Hetzner Online GmbH — hosting van servers en opslag (Duitsland, binnen de EER).
• [TODO: e-mail provider] — verzending van transactionele e-mails.
• [TODO: payment provider indien van toepassing] — verwerking van betalingen.
• [TODO: overige sub-verwerkers].

Bloqify informeert de Klant vooraf over wijzigingen in de lijst van sub-verwerkers. De Klant kan binnen 30 dagen gemotiveerd bezwaar maken tegen een nieuwe sub-verwerker.

6. Internationale doorgifte

Alle primaire verwerking vindt plaats binnen de Europese Economische Ruimte (EER). Indien in uitzonderlijke gevallen doorgifte buiten de EER plaatsvindt, gebeurt dit uitsluitend op basis van een adequaat beschermingsniveau zoals bedoeld in hoofdstuk V AVG (bijvoorbeeld via Standard Contractual Clauses).

7. Datalekken

Bloqify informeert de Klant zonder onredelijke vertraging — en in beginsel binnen 48 uur — over een inbreuk in verband met persoonsgegevens, met voldoende informatie om de Klant in staat te stellen te voldoen aan haar eventuele meldplicht aan de Autoriteit Persoonsgegevens en/of betrokkenen.

8. Audit-recht

De Klant heeft het recht — maximaal eenmaal per jaar of na een datalek — de naleving van deze DPA te (laten) controleren via redelijke audits. Bloqify stelt hiertoe relevante documentatie, zoals certificeringen en pen-test rapporten, beschikbaar. De kosten van een audit komen voor rekening van de Klant, tenzij de audit substantiële tekortkomingen aan het licht brengt.

9. Einde van de overeenkomst

Na beëindiging van de hoofdovereenkomst retourneert of verwijdert Bloqify — op keuze van de Klant — alle persoonsgegevens binnen een redelijke termijn (uiterlijk 30 dagen), tenzij een wettelijke verplichting opslag voorschrijft.

10. Aansprakelijkheid

De aansprakelijkheid onder deze DPA volgt de aansprakelijkheidsbeperking zoals opgenomen in de algemene voorwaarden, tenzij dwingend recht anders bepaalt.

11. Contact

Vragen of verzoeken die betrekking hebben op deze DPA kunnen gericht worden aan privacy@bloqify.nl.