Verwerkersovereenkomst

1. Partijen en voorwerp

Deze overeenkomst wordt gesloten tussen de klant als verwerkingsverantwoordelijke en EAS International, Klybeckstr. 141, 4057 Basel, Schweiz als verwerker (de aanbieder). Vertegenwoordiger van de aanbieder in de EU op grond van art. 27 AVG: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Voorwerp is de verwerking van persoonsgegevens die de klant in Batteriepass Online invoert of daarmee verzamelt. Aard, doel, soorten gegevens en categorieën van betrokkenen zijn beschreven in bijlage 1. De overeenkomst geldt voor de looptijd van de dienstverleningsovereenkomst, met inbegrip van de alleen-lezenfase op grond van punt 8 van de AV.

2. Instructies

De aanbieder verwerkt de gegevens uitsluitend in het kader van de dienstverleningsovereenkomst en op basis van gedocumenteerde instructies van de klant. De klant geeft instructies door de functies van de software te gebruiken (zoals een paspoort publiceren, toegangsniveaus toekennen, een leveranciersverzoek versturen, exporteren, verwijderen) en in tekstvorm aan info@batteriepass-online.eu. Instructies buiten de overeengekomen omvang worden als wijzigingsverzoek behandeld en kunnen afzonderlijk in rekening worden gebracht.

Acht de aanbieder een instructie onrechtmatig, dan informeert hij de klant onverwijld en mag hij de uitvoering opschorten tot bevestiging.

Het beschikbaar stellen van paspoortinhoud aan het publiek, aan personen met een rechtmatig belang en aan autoriteiten gebeurt overeenkomstig Verordening (EU) 2023/1542 in de door de klant gekozen configuratie en geldt als instructie van de klant.

3. Verplichtingen van de aanbieder

• Vertrouwelijkheid: alle bij de verwerking betrokken personen zijn tot geheimhouding verplicht. Klantgegevens worden alleen geraadpleegd voor zover dat nodig is voor exploitatie, ondersteuning of het verhelpen van storingen.
• Beveiliging: de aanbieder treft de technische en organisatorische maatregelen van bijlage 3 en past deze aan de stand van de techniek aan zonder het beschermingsniveau te verlagen.
• Bijstand: de aanbieder ondersteunt de klant met de middelen van de software (export, rectificatie, verwijdering, toegangslogboek) bij het nakomen van de rechten van betrokkenen en bij gegevensbeschermingseffectbeoordelingen en raadplegingen van de toezichthoudende autoriteit, voor zover de informatie bij de aanbieder aanwezig is.
• Melding: de aanbieder meldt inbreuken in verband met persoonsgegevens die klantgegevens betreffen zonder onredelijke vertraging, uiterlijk binnen 48 uur nadat hij er kennis van heeft gekregen, aan het in het account opgeslagen e-mailadres, met de op dat moment beschikbare informatie volgens art. 33, lid 3, AVG.
• Verzoeken van betrokkenen: wenden betrokkenen zich rechtstreeks tot de aanbieder, dan stuurt hij het verzoek zonder eigen inhoudelijk antwoord door naar de klant, voor zover het verzoek klantgegevens betreft.
• Aantoonbaarheid: op verzoek stelt de aanbieder de informatie beschikbaar die nodig is om de naleving van deze overeenkomst aan te tonen, met name een beschrijving van de maatregelen van bijlage 3 en verslagen over beveiligingsincidenten.
• Verwijdering: na afloop van de verwerking verwijdert de aanbieder de gegevens overeenkomstig punt 8 van de AV, tenzij er een wettelijke bewaarplicht bestaat. Voor gepubliceerde batterijpaspoorten geldt de wettelijke verplichting om ze beschikbaar te houden op grond van art. 77, lid 8, Verordening (EU) 2023/1542 als bewaarplicht.

4. Controlerechten van de klant

De klant mag de naleving van deze overeenkomst eenmaal per jaar en bij concrete aanleiding controleren. De controle gebeurt in de eerste plaats door inzage in documentatie, verslagen en bevestigingen van subverwerkers. Een controle ter plaatse is mogelijk na aankondiging met een redelijke termijn (ten minste 14 dagen) tijdens de gebruikelijke kantooruren, mits daardoor de gegevens van andere klanten niet in gevaar komen. Voor controles die verder gaan dan één per jaar of niet door een incident zijn ingegeven, mag de aanbieder de daaruit voortvloeiende inspanning tegen een redelijk tarief in rekening brengen.

5. Subverwerkers

De klant stemt in met de inschakeling van de in bijlage 2 vermelde subverwerkers. De aanbieder legt hun gegevensbeschermingsverplichtingen op die gelijkwaardig zijn aan de hier overeengekomen verplichtingen.

De aanbieder informeert de klant ten minste 30 dagen van tevoren per e-mail over voorgenomen wijzigingen (toevoeging of vervanging). De klant kan binnen deze termijn om gewichtige redenen van gegevensbescherming bezwaar maken. Bij bezwaar kan elke partij de dienstverleningsovereenkomst opzeggen tegen de datum van de wijziging; punt 8 van de AV blijft onverlet.

6. Verwerking in derde landen

De gegevens worden opgeslagen op servers in Duitsland. De aanbieder is gevestigd in Zwitserland, waarvoor een adequaatheidsbesluit van de Europese Commissie bestaat; toegang vanuit Zwitserland is daarom toegestaan. Verwerking in andere derde landen vindt alleen plaats met toestemming van de klant en op basis van passende waarborgen overeenkomstig hoofdstuk V AVG.

7. Verplichtingen van de klant

De klant is verantwoordelijk voor de rechtmatigheid van de verwerking, in het bijzonder voor de rechtsgrond voor de publicatie van gegevens over natuurlijke personen in paspoorten, voor het informeren van betrokkenen en voor de rechtmatigheid van het contact met leveranciers en aanvragers. Hij kent toegangsniveaus en toegangsrechten op eigen verantwoordelijkheid toe en controleert of de via de software toegankelijk gemaakte gegevens aan de wettelijke voorschriften voldoen.

De klant wijst in het account een e-mailadres aan dat voor gegevensbeschermingskwesties bereikbaar is, en houdt dit actueel.

8. Aansprakelijkheid, looptijd, slotbepalingen

Voor de aansprakelijkheid geldt punt 11 van de AV; art. 82 AVG blijft onverlet. Deze overeenkomst eindigt met de dienstverleningsovereenkomst, maar blijft van kracht zolang de aanbieder klantgegevens op grond van punt 8 van de AV beschikbaar houdt. Voor het overige gelden de slotbepalingen van de AV. Bij strijdigheid tussen deze overeenkomst en de AV prevaleert deze overeenkomst voor kwesties van gegevensbescherming.

Bijlage 1 – Voorwerp van de verwerking

• Aard en doel: hosting, opslag, weergave, export en doorgifte van de inhoud van batterijpaspoorten en bijbehorende documenten; verzending van e-mails in opdracht van de klant (leveranciersverzoeken, beslissingen over toegang); registratie van toegang tot beschermde inhoud; beschikbaarstelling van de API en webhooks.
• Soorten gegevens: namen, functies en contactgegevens van contactpersonen van de klant, van zijn leveranciers en van aanvragers van toegangsrechten (e-mailadres, organisatie, rol, doel, bewijsstukken); inhoud van paspoortvelden en documenten voor zover deze gegevens over natuurlijke personen bevatten (zoals de verantwoordelijke persoon van de marktdeelnemer, ondertekenaars van conformiteitsverklaringen); toegangslogboeken (ingekort gehasht IP-adres, user agent, tijdstip, toegangsniveau); door de klant aan de API doorgegeven gegevens.
• Categorieën van betrokkenen: werknemers en contactpersonen van de klant, van zijn leveranciers en zakenpartners; personen die toegang tot beschermde paspoortinhoud aanvragen (autoriteiten, reparatie- en recyclingbedrijven, kopers); bezoekers van openbare paspoortpagina’s.
• Bijzondere categorieën (art. 9 AVG) zijn geen voorwerp van de verwerking; de klant voert zulke gegevens niet in de software in.

Bijlage 2 – Subverwerkers

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Duitsland – datacenterdiensten (servers, database, documentopslag, back-ups) in Falkenstein en Neurenberg.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlijn, Duitsland – verzending van e-mails in opdracht van de klant.
• Stripe Payments Europe Ltd., Dublin, Ierland, verwerkt de betaalgegevens van de klant als zelfstandig verwerkingsverantwoordelijke en is geen subverwerker voor klantgegevens in de zin van deze overeenkomst.

Bijlage 3 – Technische en organisatorische maatregelen

• Fysieke toegang en systeemtoegang: servers in ISO 27001-gecertificeerde datacenters van Hetzner; beheer alleen via sleutelgebaseerde SSH en een privénetwerk; de database is niet bereikbaar vanaf het openbare internet.
• Gegevenstoegang: rolgebaseerde rechten (eigenaar, bewerker, lezer) per organisatie; scheiding van klanten op databaseniveau via de organisatie-ID in elke query; toegangsniveaus voor paspoortinhoud (openbaar, rechtmatig belang, autoriteit) worden server-side in één centrale filterfunctie afgedwongen.
• Authenticatie: wachtwoorden als scrypt-hash; sessies met willekeurige tokens in de database, 30 dagen; verificatie van het e-mailadres vóór schrijftoegang; limieten voor aanmeld-, registratie- en herstelpogingen; API-sleutels alleen als hash opgeslagen.
• Doorgifte: TLS voor alle verbindingen; Content Security Policy; ondertekende webhooks (HMAC) met versleuteld opgeslagen geheimen.
• Integriteit: elke publicatie van een paspoort creëert een versie met hashketen (vorige hash); auditlog van alle schrijfacties; vóór afloop van de contractuele termijnen wordt niets fysiek verwijderd.
• Beschikbaarheid: dagelijkse back-up van database en documentopslag met ten minste 30 dagen bewaring op een tweede locatie; regelmatige hersteltests; bewaking van de beschikbaarheid.
• Scheiding: productiegegevens gescheiden van ontwikkel- en testomgevingen; paspoorten in het abonnement Pilot zijn als testgegevens gemarkeerd.
• Organisatie: in de software ingebouwde gegevensminimalisatie (alleen velden die voor het paspoort nodig zijn); beveiligingscontrole bij elke wijziging van de dienst; documentatie van incidenten; regelmatige updates van systeemcomponenten.