Verwerkersovereenkomst (DPA)

Van toepassing vanaf de publicatie ervan. Deze overeenkomst vult de Algemene Servicevoorwaarden van Metaventus aan.

1. Voorwerp en rollen

Deze Verwerkersovereenkomst („DPA”) regelt, overeenkomstig artikel 28 AVG, de verwerkingen van persoonsgegevens die VENTUS, vereenvoudigde vennootschap op aandelen met een kapitaal van 60 000 €, handels- en vennootschapsregister Rouen 917 982 969, 14 chemin des Tilleuls, 76130 Mont-Saint-Aignan („Metaventus”, handelend als verwerker) uitvoert voor rekening van de accounthouder („de Klant”, handelend als verwerkingsverantwoordelijke) in het kader van het leveren van de Diensten.

Wanneer de Klant zelf als verwerker voor een derde optreedt, treedt Metaventus op als subverwerker en garandeert de Klant dat zijn eigen verbintenissen verenigbaar zijn met deze DPA.

Voor de verwerkingen die Metaventus voor eigen rekening uitvoert (beheer van de klantaccount, facturatie, beveiliging van het platform, statistieken) treedt Metaventus op als verwerkingsverantwoordelijke, overeenkomstig haar Privacybeleid.

2. Instructies

Metaventus verwerkt de Gegevens van de Klant uitsluitend op gedocumenteerde instructie van de Klant. De Servicevoorwaarden, deze DPA en het gebruik van de functies van het platform door de Klant en zijn gebruikers vormen de instructies van de Klant. Metaventus informeert de Klant indien een instructie haar in strijd met de AVG lijkt.

3. Beschrijving van de verwerking

De gedetailleerde beschrijving (aard, doeleinden, categorieën van gegevens en van betrokkenen, duur) staat in Bijlage 1.

4. Vertrouwelijkheid

Metaventus garandeert dat de personen die gemachtigd zijn de Gegevens van de Klant te verwerken, gebonden zijn door een geheimhoudingsplicht en er enkel toegang toe hebben voor zover nodig voor hun taken.

5. Beveiliging

Metaventus treft de passende technische en organisatorische maatregelen beschreven in Bijlage 2, overeenkomstig artikel 32 AVG.

6. Subverwerkers

De Klant geeft een algemene toestemming voor het inschakelen van de in Bijlage 3 vermelde subverwerkers. Metaventus sluit met elk van hen een overeenkomst die gegevensbeschermingsverplichtingen oplegt die gelijkwaardig zijn aan die van deze DPA, en blijft verantwoordelijk voor de uitvoering ervan.

Metaventus informeert de Klant (per e-mail of via een melding in het platform) over elke toevoeging of vervanging van een subverwerker ten minste dertig (30) dagen voordat deze ingaat. De Klant kan zich daartegen verzetten om een gerechtvaardigde reden; bij gebrek aan akkoord kan de Klant het betrokken abonnement opzeggen voordat de wijziging ingaat.

7. Bijstand aan de verwerkingsverantwoordelijke

Rekening houdend met de aard van de verwerking staat Metaventus de Klant bij met passende maatregelen (bij voorrang de functies van het platform): om te antwoorden op verzoeken van betrokkenen die hun rechten uitoefenen (inzage, rectificatie, wissing, overdraagbaarheid, bezwaar); en om te voldoen aan zijn verplichtingen uit hoofde van de artikelen 32 tot en met 36 AVG (beveiliging, melding van inbreuken, effectbeoordelingen). Elk verzoek om bijstand dat de standaardfuncties overstijgt, kan aanleiding geven tot een redelijke, vooraf overeengekomen facturatie.

8. Inbreuken in verband met persoonsgegevens

Metaventus meldt de Klant, zo spoedig mogelijk nadat zij er kennis van heeft gekregen, elke inbreuk die de Gegevens van de Klant treft, op het e-mailadres van de beheerder(s) van de account, met de in artikel 33, lid 3, AVG voorgeschreven informatie (aard, betrokken categorieën en aantallen, waarschijnlijke gevolgen, genomen of voorgestelde maatregelen).

9. Doorgiften buiten de Europese Unie

De Gegevens van de Klant worden binnen de Europese Unie gehost. Bepaalde subverwerkers (Bijlage 3) kunnen gegevens vanuit derde landen verwerken; in dat geval wordt de doorgifte omkaderd door een adequaatheidsbesluit (waaronder het EU-U.S. Data Privacy Framework) en/of de modelcontractbepalingen van de Europese Commissie, indien nodig aangevuld met bijkomende maatregelen.

10. Verwijdering en teruggave

Gedurende de gehele looptijd van de overeenkomst kan de Klant zijn gegevens exporteren via de functies van het platform. Bij het einde van de overeenkomst verwijdert Metaventus de Gegevens van de Klant binnen dertig (30) dagen, behoudens wettelijke bewaarplicht. Op schriftelijk verzoek dat vóór het einde van die termijn wordt gedaan, bevestigt Metaventus de verwijdering.

11. Register en audits

Metaventus houdt een register bij van de verwerkingsactiviteiten die voor rekening van de Klant worden verricht (art. 30, lid 2, AVG). Metaventus stelt de Klant de informatie ter beschikking die nodig is om de naleving van deze DPA aan te tonen (documentatie, beschrijvingen van de maatregelen, beschikbare verklaringen).

De Klant kan ten hoogste eenmaal (1) per periode van twaalf (12) maanden een audit uitvoeren die beperkt is tot de voor zijn rekening verrichte verwerkingen, mits een schriftelijke opzegtermijn van dertig (30) dagen, op eigen kosten, tijdens de kantooruren, zonder toegang tot gegevens van andere klanten of tot bedrijfsgeheimen. Een audit ter plaatse is enkel mogelijk indien de documentatie geen bevredigend antwoord biedt.

12. Duur en aansprakelijkheid

Deze DPA geldt voor de gehele duur van de Servicevoorwaarden en zolang Metaventus Gegevens van de Klant verwerkt. De aansprakelijkheidsgrenzen en -uitsluitingen van de Servicevoorwaarden zijn van toepassing op deze DPA.

Contact gegevensbescherming: contact@metaventus.com.

13. Taal

Deze DPA is in het Frans opgesteld. Indien ter informatie een vertaling wordt verstrekt, is alleen de Franse versie rechtsgeldig.

Bijlage 1 — Beschrijving van de verwerking

Aard en doeleinden: hosten, opslaan, structureren en raadplegen van de CRM-gegevens van de Klant; versturen van elektronische communicatie (e-mails, sms-berichten, oproepen) op initiatief van de Klant; afspraken maken; facturatie aan de eindklanten van de Klant; procesautomatisering; AI-ondersteuningsfuncties (op verzoek van de gebruikers); technische logging en gebruiksstatistieken.

Categorieën van betrokkenen: gebruikers van de Klant; contacten, prospecten en klanten van de Klant; deelnemers aan afspraken; ontvangers van de communicatie.

Categorieën van gegevens: identiteit en contactgegevens (naam, voornaam, e-mail, telefoon, adres); beroepsgegevens (onderneming, functie); commerciële gegevens (opportuniteiten, offertes, facturen, afspraken, notities); inhoud van de via het platform verzonden communicatie; technische gegevens (logs, IP-adressen, identificatoren). De verwerking van bijzondere categorieën van gegevens (art. 9 AVG) is uitgesloten (zie de Gebruiksvoorwaarden).

Duur: de looptijd van de overeenkomst, daarna verwijdering binnen 30 dagen (art. 10), onder voorbehoud van de door de Klant in het platform ingestelde bewaartermijnen en van de wettelijke verplichtingen.

Bijlage 2 — Beveiligingsmaatregelen

• Versleuteling van het verkeer (TLS) op alle blootgestelde diensten;
• Strikte scheiding van de gegevens per klantaccount (multi-tenant);
• Toegangscontrole op basis van rollen en rechten (RBAC) met fijne granulariteit;
• Sterke authenticatie: tweefactorauthenticatie beschikbaar (sms, TOTP, toegangssleutels/WebAuthn) en verplicht voor beheerdersrollen;
• Opslag van de authenticatiegeheimen onder sterke versleuteling (AES-256-GCM) en wachtwoorden als hash;
• Auditlogs met tijdstempel (aanmeldingen, rolwijzigingen, gevoelige handelingen) met minimale bewaartermijnen die niet kunnen worden ingekort;
• Automatische opschoning van de gegevens na afloop van de bewaartermijnen;
• Beleid van minimale rechten voor het personeel; productietoegang beperkt en op naam;
• Regelmatige back-ups beheerd door de hostingaanbieder (bewaring en herstel);
• Gescheiden ontwikkel- en productieomgevingen;
• Traceerbaarheid van de contractuele aanvaardingen (tijdstempel, versie, SHA-256-vingerafdruk).

Bijlage 3 — Subverwerkers

Geen subverwerkers van Metaventus zijn: de diensten van derden die de Klant op eigen initiatief met zijn account verbindt (Google, Microsoft, Zoom, sociale netwerken enz.) — die integraties vallen onder de rechtstreekse relatie tussen de Klant en de betrokken derde aanbieder.