Verwerkersovereenkomst (AVG): Afspraken over de gegevens van je klanten.

Partijen en rollen

Deze overeenkomst geldt tussen de klant (verwerkingsverantwoordelijke) en Vorlyo, een handelsnaam van JKF Commerce, gevestigd in Amsterdam, KvK 92785379 (verwerker). Ze hoort bij de overeenkomst voor de software, website of hosting en geldt zolang die loopt.

Onderwerp, aard en doel

Vorlyo verwerkt persoonsgegevens uitsluitend om de software, website en hosting te leveren, te beveiligen, te onderhouden en te ondersteunen. Denk aan opslaan, tonen, versturen van bevestigingen en herinneringen, maken van back-ups en het oplossen van storingen.

Het gaat om gegevens die de klant en zijn klanten in de software invoeren, zoals naam, contactgegevens, afspraken, bestellingen, offertes, facturen en berichten. Betrokkenen zijn de klanten, gasten, cursisten, medewerkers en contactpersonen van de klant. Bijzondere persoonsgegevens horen niet in de software, tenzij dat schriftelijk is afgesproken.

Alleen op instructie

Vorlyo verwerkt de gegevens alleen op schriftelijke instructie van de klant, zoals vastgelegd in de overeenkomst en de instellingen van de software, en nooit voor eigen doeleinden. Vindt Vorlyo een instructie in strijd met de wet, dan meldt Vorlyo dat direct.

Iedereen bij Vorlyo die toegang heeft tot de gegevens, heeft een geheimhoudingsplicht en krijgt alleen toegang voor zover dat voor zijn werk nodig is.

Beveiliging

Vorlyo neemt passende technische en organisatorische maatregelen (art. 32 AVG): versleutelde verbindingen, toegang per rol die op de server wordt gecontroleerd, gegevens per klant gescheiden, opslag in Europese datacenters, dagelijkse back-ups, beperkte inlogpogingen en sessies die op afstand kunnen worden ingetrokken, en continue monitoring van de beschikbaarheid.

Subverwerkers

De klant geeft toestemming voor de inzet van de subverwerkers hieronder. Vorlyo legt hun dezelfde verplichtingen op als in deze overeenkomst en blijft verantwoordelijk voor hun naleving. Een nieuwe subverwerker meldt Vorlyo minimaal dertig dagen vooraf per e-mail; de klant kan daar met redenen bezwaar tegen maken.

Waar een subverwerker gegevens buiten de Europese Economische Ruimte verwerkt, gebeurt dat op basis van een adequaatheidsbesluit (zoals het EU-VS Data Privacy Framework) of de modelcontractbepalingen van de Europese Commissie.

Cloudflare

Europese Unie

Amazon Web Services

Europese Unie

Mollie, Stripe

Europese Unie

Anthropic

Verenigde Staten, onder het EU-VS Data Privacy Framework

Apple

Verenigde Staten, onder het EU-VS Data Privacy Framework

Rechten van betrokkenen en bijstand

De klant kan gegevens in de software zelf inzien, aanpassen, exporteren en verwijderen. Waar dat niet volstaat, helpt Vorlyo binnen redelijke termijn bij verzoeken van betrokkenen, een gegevensbeschermingseffectbeoordeling of vragen van de toezichthouder.

Datalekken

Vorlyo meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk binnen 24 uur na ontdekking aan de klant, met wat op dat moment bekend is: de aard van de inbreuk, de betrokken gegevens, de waarschijnlijke gevolgen en de genomen maatregelen. De klant beslist over een melding aan de Autoriteit Persoonsgegevens en aan betrokkenen.

Einde van de overeenkomst

Na afloop kan de klant zijn gegevens binnen dertig dagen exporteren. Daarna verwijdert Vorlyo de gegevens, ook uit de back-ups zodra die volgens de vaste bewaartermijn verlopen, tenzij de wet bewaren verplicht.

Controle en aansprakelijkheid

Vorlyo geeft de klant op verzoek de informatie die nodig is om naleving van deze overeenkomst aan te tonen en werkt mee aan een redelijke audit, op kosten van de klant en met een redelijke aankondiging. Voor aansprakelijkheid gelden de afspraken uit de hoofdovereenkomst.

Op deze overeenkomst is Nederlands recht van toepassing. Een ondertekende versie op naam van je bedrijf vraag je aan via info@vorlyo.com.