Verwerkersovereenkomst

Toepassingsgebied

Deze verwerkersovereenkomst beschrijft hoe OPALITH SAS, statutair gevestigd op 254 rue Vendôme, 69003 Lyon, France (RCS Lyon 991 600 156), persoonsgegevens verwerkt namens haar klanten wanneer zij rdv.dev gebruiken, zoals vereist door artikel 28 van de Algemene verordening gegevensbescherming (‘AVG’).

Ze maakt deel uit van de gebruiksvoorwaarden en is automatisch van toepassing op elke klant die deze voorwaarden aanvaardt, zonder afzonderlijke ondertekening. Begrippen die in de voorwaarden zijn gedefinieerd (Dienst, Workspace, Eigenaar, Host, Gast, Agent) hebben hier dezelfde betekenis. Als deze verwerkersovereenkomst en de voorwaarden elkaar tegenspreken over persoonsgegevens die namens jou worden verwerkt, gaat deze verwerkersovereenkomst voor.

Rollen

• Jij, de klant, bent de verwerkingsverantwoordelijke voor de persoonsgegevens die in je workspace voor jou worden verwerkt: de gegevens van je gasten, en de gegevens van je leden wanneer zij de Dienst voor je bedrijf gebruiken (hun afspraaktypen, beschikbaarheid, boekingen en agendakoppelingen zoals ingesteld in je workspace).
• OPALITH SAS is je verwerker voor die gegevens, en verwerkt ze alleen om de Dienst aan jou te leveren.
• OPALITH SAS is verwerkingsverantwoordelijke voor de gegevens die zij voor haar eigen doeleinden verwerkt: accounts en inloggen, beveiliging, facturering, en haar relatie met jou. Die verwerking wordt beschreven in het privacybeleid en valt niet onder deze verwerkersovereenkomst.

Kenmerken van de verwerking

Onderwerp

De Dienst leveren: boekingspagina's, beschikbaarheid, boekingen, agenda-items, bevestigingen en herinneringen, huisstijl, en de openbare API, MCP-server en webhooks.

Duur

Zolang de overeenkomst loopt, daarna de ophaaltermijn van 30 dagen die in de voorwaarden is beschreven, en vervolgens verwijdering (zie Verwijdering of teruggave).

Aard

Verzameling via boekingspagina's en de API, opslag, ordening, raadpleging, live uitlezen van de beschikbaarheid in agenda's, aanmaken van agenda-items, verzending per e-mail, sms, API en webhooks, en verwijdering.

Doel

Je gasten afspraken met je hosts laten boeken, verzetten en annuleren; gasten en hosts informeren; de agenda's van je hosts actueel houden; en je integraties en agents toegang geven tot je planningsgegevens.

Betrokkenen

Je gasten (bijvoorbeeld prospects, klanten, kandidaten en partners); je leden en hosts; de mensen die je uitnodigt voor je workspace.

Persoonsgegevens

Gasten: naam, e-mailadres, tijdzone, taal, notities en antwoorden die bij het boeken zijn gegeven, details van de afspraak, en, alleen als de gast om sms-herinneringen vraagt, mobiel nummer en toestemming. Leden: naam, e-mailadres, rol, afspraaktypen, weektijden, bezette tijden (live gelezen, niet opgeslagen), ID's van de agenda-items die voor hen zijn aangemaakt. Bezoekers van boekingspagina's: IP-adres, verwerkt voor beveiliging en verzoeklimieten.

Bijzondere categorieën

Niet beoogd. Vraag gasten in boekingsvragen niet om gevoelige gegevens, zoals gezondheidsinformatie.

Je instructies

• We verwerken de persoonsgegevens alleen op basis van je gedocumenteerde instructies. Je instructies zijn de voorwaarden, deze verwerkersovereenkomst, de manier waarop je de Dienst instelt en gebruikt, en eventuele verdere schriftelijke instructies die je naar hello@rdv.dev stuurt en die de Dienst redelijkerwijs kan uitvoeren.
• We laten het je weten als een instructie naar onze mening inbreuk maakt op de AVG of op andere wetgeving inzake gegevensbescherming.
• Als het recht van de Europese Unie of het Franse recht ons verplicht de gegevens op een andere manier te verwerken, laten we je dat weten voordat we dat doen, tenzij die wetgeving dat verbiedt.

Vertrouwelijkheid

Alleen mensen die de gegevens nodig hebben om de Dienst te laten draaien, hebben er toegang toe. Ieder van hen is gebonden aan een geheimhoudingsplicht, op grond van een contract of de wet.

Beveiligingsmaatregelen

We beschermen de persoonsgegevens met technische en organisatorische maatregelen die passen bij het risico, waaronder:

• Locatie. De database en de functies van de applicatie staan in Frankfurt (Duitsland).
• Versleuteling. Versleuteling tijdens transport (TLS) voor elke verbinding, en versleuteling in opslag door onze leveranciers van database en bestandsopslag.
• Toegangsbeheer. Elke actie in de Dienst controleert op de server wie de vraag stelt en wat diens rol in de workspace toestaat. Toegang tot productiesystemen is beperkt tot de mensen die de Dienst draaien.
• Geheimen. Wachtwoorden, beheerlinks van gasten, geheimen van uitnodigingen en API-sleutels worden alleen als hash opgeslagen. OAuth-tokens voor agenda's worden bewaard door Nango en komen nooit in onze database of onze code terecht.
• Minimalisering. Vrij/bezet-informatie uit agenda's wordt live gelezen en niet opgeslagen; uit Microsoft-agenda's vragen we alleen het begin, het einde, de vrij/bezet-status en de annulering van agenda-items op. Telefoonnummers van gasten worden alleen voor sms-herinneringen verzameld, met toestemming.
• Bescherming tegen misbruik. Verzoeklimieten per account en per gehasht IP-adres; websites worden opgehaald via een beveiligd transport dat adressen in privénetwerken weigert.
• Veerkracht. Beheerde databaseback-ups met herstel naar een willekeurig tijdstip; dagelijkse verwijdering van verlopen gegevens.
• Evaluatie. We evalueren deze maatregelen wanneer de Dienst verandert, en ten minste eenmaal per jaar.

Bijstand

Rekening houdend met de aard van de verwerking en de informatie waarover we beschikken, helpen we je om:

• verzoeken te beantwoorden van mensen die hun rechten uitoefenen (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar). De meeste kunnen in de Dienst zelf worden afgehandeld; als een verzoek ons rechtstreeks bereikt, sturen we het zonder onnodige vertraging aan je door en beantwoorden we het niet zelf, tenzij je ons daarom vraagt;
• aan je beveiligingsverplichtingen te voldoen;
• een gegevensbeschermingseffectbeoordeling uit te voeren, of een toezichthoudende autoriteit te raadplegen, wanneer de verwerking dat vereist.

Inbreuken in verband met persoonsgegevens

We melden je een inbreuk in verband met persoonsgegevens (datalek) die jouw gegevens treft zonder onnodige vertraging, en uiterlijk 48 uur nadat we ervan op de hoogte zijn geraakt, per e-mail aan de eigenaar van de workspace. De melding beschrijft, voor zover op dat moment bekend, de aard van het datalek, de categorieën en het geschatte aantal betrokkenen en persoonsgegevensregisters, de waarschijnlijke gevolgen, en de genomen of voorgestelde maatregelen. We vullen de melding aan naarmate we meer weten, en we helpen je de toezichthoudende autoriteit en de betrokkenen in te lichten wanneer je dat moet doen.

Subverwerkers

Je geeft ons een algemene toestemming om subverwerkers in te schakelen. Op dit moment zijn dat:

• Dezelfde verplichtingen. Elke subverwerker is gebonden aan een schriftelijk contract dat de persoonsgegevens hetzelfde beschermingsniveau biedt als deze verwerkersovereenkomst. We blijven tegenover jou verantwoordelijk voor hun werk.
• Wijzigingen. We informeren eigenaren per e-mail, en werken deze pagina bij, ten minste 30 dagen voordat een nieuwe subverwerker je gegevens gaat verwerken.
• Recht van bezwaar. Binnen die 30 dagen kun je op redelijke gronden die verband houden met gegevensbescherming bezwaar maken door te schrijven naar hello@rdv.dev. We zoeken samen met je naar een oplossing. Als we die niet vinden, kun je de overeenkomst beëindigen voordat de wijziging ingaat, en betalen we de vergoedingen terug die zijn betaald voor de periode na de einddatum.

Google en Microsoft zijn niet onze subverwerkers: je hosts koppelen hun eigen agenda's, en Google en Microsoft handelen tegenover hen onder hun eigen voorwaarden.

Internationale doorgiften

Je gegevens worden opgeslagen in de Europese Unie. Als een subverwerker gevestigd is in een land zonder adequaatheidsbesluit van de Europese Commissie, of de gegevens vanuit zo'n land kan benaderen, berust de doorgifte op het EU-US Data Privacy Framework als de ontvanger gecertificeerd is, en anders op de standaardcontractbepalingen die de Europese Commissie heeft vastgesteld (besluit 2021/914), samen met de hieronder beschreven maatregelen.

Infrastructuur en toegang door overheden

Waar je gegevens staan. De database (Neon) en de functies van de applicatie (Vercel) staan in Frankfurt, Duitsland. Bestanden worden opgeslagen door Vercel Blob en geleverd via het wereldwijde netwerk van Vercel.

Wie de leveranciers zijn. Vercel, Neon, Nango, Mailtrap en Firecrawl zijn bedrijven die in de Verenigde Staten zijn gevestigd, en ClickSend is gevestigd in Australië. De wetgeving van die landen kan hun autoriteiten toestaan deze leveranciers om gegevens te vragen die ze bewaren, ook als die in de Europese Unie zijn opgeslagen.

Wat we daaraan doen.

• Versleuteling. Gegevens worden versleuteld tijdens transport en in opslag.
• Minimalisering. Elke leverancier ontvangt alleen wat nodig is voor zijn taak. Agendatokens komen nooit in onze database terecht, vrij/bezet-informatie uit agenda's wordt nooit opgeslagen, en sms-herinneringen worden alleen gestuurd naar gasten die erom hebben gevraagd.
• Verzoeken aan ons. Als een autoriteit buiten de Europese Unie ons om je gegevens vraagt, controleren we of het verzoek rechtmatig is, vechten we het aan als daar gronden voor zijn, en verstrekken we alleen het minimum dat wettelijk vereist is.
• Jou informeren. We laten je weten dat er zo'n verzoek is, voordat we erop antwoorden, tenzij de wet ons dat verbiedt.
• Leveranciers. We kiezen leveranciers die zich tot hetzelfde verplichten: onrechtmatige verzoeken aanvechten en hun klanten informeren wanneer dat rechtmatig kan.

Verwijdering of teruggave aan het einde

Als de overeenkomst eindigt, kun je je gegevens exporteren tijdens de ophaaltermijn van 30 dagen die in de voorwaarden is beschreven. Na die termijn verwijderen we de persoonsgegevens die we voor jou verwerken, tenzij het recht van de Europese Unie of het Franse recht ons verplicht ze te bewaren. Verwijderde gegevens verdwijnen binnen 30 dagen uit de herstelgeschiedenis van onze databaseleverancier. Als je je workspace zelf verwijdert, gebeurt de verwijdering onmiddellijk. Op verzoek bevestigen we de verwijdering schriftelijk.

Audits

• We stellen je de informatie ter beschikking die nodig is om aan te tonen dat we onze verplichtingen op grond van artikel 28 van de AVG nakomen, te beginnen met deze verwerkersovereenkomst en antwoorden op je redelijke vragen.
• Als dat niet volstaat, kun je eenmaal per jaar een audit van onze naleving uitvoeren, met een schriftelijke aankondiging van ten minste 30 dagen, tijdens kantooruren, op eigen kosten, zelf of via een onafhankelijke auditor die tot geheimhouding verplicht is. Een audit mag geen toegang geven tot gegevens van andere klanten en mag de Dienst niet verstoren.
• Je kunt vaker een audit uitvoeren als een toezichthoudende autoriteit dat vereist, of na een datalek dat jouw gegevens treft.

Aansprakelijkheid en duur

Deze verwerkersovereenkomst geldt zolang we persoonsgegevens voor jou verwerken. Tussen jou en ons is het aansprakelijkheidsartikel van de voorwaarden van toepassing op deze verwerkersovereenkomst, voor zover de wet dat toestaat. Niets hierin beperkt de rechten van de mensen van wie de gegevens worden verwerkt.

Contact

Voor alles wat met deze verwerkersovereenkomst te maken heeft, schrijf je naar hello@rdv.dev. OPALITH SAS, 254 rue Vendôme, 69003 Lyon, France.