Verwerkersovereenkomst

Verwerkersovereenkomst ServCycle

Partijen

1. [naam klant], gevestigd te [plaats], ingeschreven bij de KvK onder nummer [nummer], hierna: Klant (verwerkingsverantwoordelijke);

1. SA Factory, eenmanszaak, ook handelend onder de handelsnaam ServCycle, gevestigd aan het Kennemerplein 6, 2011 MJ Haarlem, KvK 88199517, btw-id NL004558589B86, bereikbaar via info@servcycle.nl, hierna: Leverancier (verwerker).

Overwegingen

• Klant is een installatie- of onderhoudsbedrijf en gebruikt ServCycle, een online systeem voor het beheer van klanten, installaties, onderhoudscontracten, werkorders, storingen en certificaten (de Dienst), op grond van een overeenkomst met Leverancier waarop de Algemene voorwaarden ServCycle van toepassing zijn (de Hoofdovereenkomst).
• Bij het leveren van de Dienst verwerkt Leverancier persoonsgegevens in opdracht van Klant. Klant bepaalt het doel en de middelen van die verwerking: hij beslist welke klanten, locaties en medewerkers hij invoert, wie welke rol krijgt, welke berichten de Dienst verstuurt en hoe lang hij gegevens bewaart. Leverancier is daarom verwerker in de zin van artikel 4 onder 8 AVG, ook voor de pagina's die klanten van Klant via een gedeelde link openen.
• Partijen leggen in deze verwerkersovereenkomst vast wat artikel 28 lid 3 van de Algemene verordening gegevensbescherming (AVG) vraagt. Een verwijzing naar de AVG omvat de Uitvoeringswet AVG (UAVG).

Begrippen uit de AVG (zoals persoonsgegevens, verwerking, betrokkene, inbreuk in verband met persoonsgegevens) hebben in deze overeenkomst dezelfde betekenis als in de AVG.

Artikel 1: Onderwerp en duur

1.1 Leverancier verwerkt persoonsgegevens uitsluitend in opdracht van Klant en uitsluitend voor het leveren van de Dienst zoals beschreven in de Hoofdovereenkomst.

1.2 Deze overeenkomst gaat in op de dag dat beide partijen haar ondertekenen of Klant haar op het aanmeldscherm aanvaardt, en in elk geval vóórdat Klant persoonsgegevens in de Dienst invoert. Zij loopt zolang de Hoofdovereenkomst loopt, en daarna zolang Leverancier nog persoonsgegevens van Klant onder zich heeft (zie artikel 11).

1.3 Bij strijd tussen deze overeenkomst en de Hoofdovereenkomst gaat deze overeenkomst voor, voor zover het de verwerking van persoonsgegevens betreft.

Artikel 2: Aard en doel van de verwerking

2.1 De verwerking bestaat uit het opslaan, ordenen, raadplegen, wijzigen, verstrekken door middel van doorzending (e-mail, gedeelde links, agendabestanden), back-uppen en wissen van persoonsgegevens, voor zover nodig om de Dienst te leveren.

2.2 Doel van de verwerking is uitsluitend het ondersteunen van de bedrijfsvoering van Klant: het plannen en uitvoeren van onderhoud, storingen en keuringen bij de klanten van Klant, het vastleggen van het uitgevoerde werk, het communiceren met die klanten, het aansturen van de eigen medewerkers van Klant, en het voorbereiden van de facturatie.

2.3 De soorten persoonsgegevens, de categorieën betrokkenen en de bewaartermijnen staan in Bijlage A.

2.4 Leverancier gebruikt de persoonsgegevens niet voor eigen doeleinden: niet voor marketing, niet voor profilering, niet voor het trainen van modellen, en verkoopt of verhuurt ze niet. Leverancier mag wel geaggregeerde, niet tot personen of tot Klant herleidbare gebruiksgegevens (bijvoorbeeld het aantal werkorders per maand over alle klanten) gebruiken om de Dienst te verbeteren en te dimensioneren.

2.5 Voor de gegevens die Leverancier voor zijn eigen contractbeheer verwerkt - contact- en factuurgegevens van Klant, supportcorrespondentie en technische logbestanden die nodig zijn voor beveiliging en facturatie - is Leverancier zelf verwerkingsverantwoordelijke. Daarop ziet deze overeenkomst niet; de privacyverklaring van Leverancier beschrijft dat.

Artikel 3: Instructies (art. 28 lid 3 onder a AVG)

3.1 Leverancier verwerkt de persoonsgegevens alleen op basis van gedocumenteerde instructies van Klant, ook als het gaat om doorgifte aan een derde land. De Hoofdovereenkomst, deze overeenkomst en het gebruik dat Klant zelf van de Dienst maakt (bijvoorbeeld een mail laten versturen, een link delen of een gebruiker uitnodigen) gelden als zulke instructies. Aanvullende instructies geeft Klant schriftelijk (waaronder per e-mail) aan support@servcycle.nl; Leverancier mag redelijke kosten voor het uitvoeren daarvan in rekening brengen als zij buiten de normale werking van de Dienst vallen.

3.2 Is Leverancier op grond van Unierecht of Nederlands recht verplicht tot een verwerking buiten de instructies om, dan meldt hij dat vooraf aan Klant, tenzij die wet dat verbiedt om gewichtige redenen van algemeen belang.

3.3 Vindt Leverancier dat een instructie in strijd is met de AVG of andere privacywetgeving, dan meldt hij dat direct aan Klant (art. 28 lid 3, slot, AVG). Leverancier hoeft zo'n instructie niet uit te voeren zolang Klant haar niet heeft bevestigd of aangepast.

3.4 Klant staat ervoor in dat hij een grondslag heeft voor de verwerking (art. 6 AVG) - ook voor de gegevens van zijn eigen medewerkers, voor wie Klant als werkgever de verantwoordelijke is -, dat hij de betrokkenen informeert zoals artikel 13 en 14 AVG vragen, en dat hij geen bijzondere persoonsgegevens, gegevens van strafrechtelijke aard of burgerservicenummers in de Dienst opneemt (zie Bijlage A, onderdeel A.3). Klant vrijwaart Leverancier tegen aanspraken van betrokkenen en toezichthouders voor zover die voortvloeien uit het ontbreken van een grondslag of van informatie aan betrokkenen.

Artikel 4: Geheimhouding (art. 28 lid 3 onder b AVG)

4.1 Leverancier houdt de persoonsgegevens geheim. Iedereen die onder het gezag van Leverancier toegang heeft tot de persoonsgegevens - ook de waarnemer uit artikel 17.6 van de Algemene voorwaarden - is gebonden aan een schriftelijke geheimhoudingsplicht of een wettelijke geheimhoudingsplicht.

4.2 Toegang tot de persoonsgegevens is beperkt tot wat nodig is voor beheer, onderhoud, het oplossen van storingen en ondersteuning op verzoek van Klant.

4.3 Het eerste lid geldt niet als Klant toestemming heeft gegeven om gegevens aan een derde te verstrekken, of als verstrekking wettelijk verplicht is. In dat laatste geval geldt artikel 3.2.

Artikel 5: Beveiliging (art. 28 lid 3 onder c en art. 32 AVG)

5.1 Leverancier neemt passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG om de persoonsgegevens te beveiligen tegen verlies en tegen elke vorm van onrechtmatige verwerking, rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, omvang, context en doeleinden van de verwerking en de risico's voor betrokkenen. De maatregelen staan in Bijlage C.

5.2 Leverancier mag de maatregelen wijzigen, mits het beveiligingsniveau daardoor niet daalt. Leverancier houdt Bijlage C actueel en stelt de actuele versie op verzoek beschikbaar.

5.3 Klant is zelf verantwoordelijk voor wat binnen zijn invloed ligt: welke medewerkers hij toegang geeft en met welke rol, het tijdig blokkeren van vertrokken medewerkers, het gebruik van tweestapsverificatie door zijn medewerkers, aan wie hij gedeelde links stuurt, en de beveiliging van de apparaten waarmee zijn medewerkers inloggen.

Artikel 6: Subverwerkers (art. 28 lid 2 en 4 en lid 3 onder d AVG)

6.1 Klant geeft Leverancier algemene schriftelijke toestemming om de subverwerkers uit Bijlage B in te schakelen.

6.2 Leverancier informeert Klant ten minste 30 dagen vooraf per e-mail aan de eigenaar-gebruiker over een voorgenomen toevoeging of vervanging van een subverwerker, met de naam, de vestiging, de verwerkingslocatie en wat de subverwerker doet. Klant kan binnen die termijn schriftelijk en gemotiveerd bezwaar maken. Partijen overleggen dan te goeder trouw. Komen zij er niet uit, dan mag Klant de Hoofdovereenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder kosten en met teruggave van vooruitbetaald abonnementsgeld over de resterende periode. Maakt Klant niet binnen de termijn bezwaar, dan geldt de wijziging als aanvaard.

6.3 In een spoedgeval - als een subverwerker zonder aankondiging stopt of de beveiliging dat vraagt - mag Leverancier een vervanger eerder inschakelen. Hij meldt dat dan zo snel mogelijk, en het bezwaarrecht van het vorige lid blijft gelden.

6.4 Leverancier legt elke subverwerker bij schriftelijke overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als in deze overeenkomst staan, in het bijzonder passende beveiliging, en blijft tegenover Klant volledig aansprakelijk voor de nakoming daarvan door de subverwerker (art. 28 lid 4 AVG).

6.5 Diensten die Klant zelf afneemt en zelf aan de Dienst koppelt - zijn eigen postbus of agenda bij Microsoft of Google, zijn eigen mailserver, of zijn boekhoudpakket - zijn geen subverwerkers van Leverancier. Klant heeft daarover een eigen (verwerkers)overeenkomst met die partij, en Klant beslist of hij de koppeling aanzet. Leverancier verstuurt en haalt via zo'n koppeling alleen gegevens op in opdracht van Klant; dat is een doorzending op instructie van Klant, geen inschakeling van een subverwerker. Zie Bijlage B, onderdeel B.2.

Artikel 7: Doorgifte buiten de EER (art. 44-49 AVG)

7.1 De persoonsgegevens worden opgeslagen in de Europese Economische Ruimte (EER). Database, bestandsopslag en serverfuncties staan in Frankfurt (Duitsland); de e-mailverzending loopt via Ierland.

7.2 Vijf subverwerkers (Supabase, Vercel, Resend, Anthropic en HubSpot, zie Bijlage B) zijn Amerikaanse ondernemingen. Bij Anthropic en HubSpot vindt ook de verwerking zelf in de Verenigde Staten plaats (Bijlage B). Daardoor kan beheer- of supporttoegang op afstand vanuit de Verenigde Staten plaatsvinden, en het wereldwijde netwerk (CDN) van Vercel kan een verzoek via een knooppunt buiten de EER afhandelen als de gebruiker zich buiten de EER bevindt. Dat geldt als doorgifte in de zin van hoofdstuk V AVG. Die doorgifte vindt alleen plaats op een van de volgende grondslagen:

a. het adequaatheidsbesluit van de Europese Commissie van 10 juli 2023 voor het EU-VS Data Privacy Framework (DPF), voor subverwerkers die daaronder gecertificeerd zijn (op de datum van deze overeenkomst: Vercel, Resend, Anthropic en HubSpot, zie Bijlage B);

b. de standaardcontractbepalingen van de Europese Commissie (Uitvoeringsbesluit (EU) 2021/914, SCC's, module 3 verwerker-naar-verwerker), die in de verwerkersovereenkomsten tussen Leverancier en elk van deze subverwerkers zijn opgenomen - ook bij de DPF-gecertificeerde subverwerkers, zodat de doorgifte een grondslag houdt als het adequaatheidsbesluit vervalt.

7.3 Leverancier heeft voor de doorgifte op grond van SCC's een beoordeling gemaakt van het recht en de praktijk in het derde land (transfer impact assessment) en stelt die op verzoek aan Klant ter beschikking. Leverancier volgt de ontwikkelingen rond het DPF (op de datum van deze overeenkomst: het Gerecht van de EU heeft het besluit op 3 september 2025 in stand gelaten, zaak T-553/23; het hoger beroep C-703/25 P loopt) en informeert Klant als een grondslag vervalt en welke vervangende grondslag hij dan gebruikt.

7.4 Buiten 7.2 worden geen persoonsgegevens buiten de EER verwerkt zonder voorafgaande schriftelijke instructie van Klant.

Artikel 8: Inbreuken in verband met persoonsgegevens (art. 33 en 34 AVG)

8.1 Leverancier meldt een inbreuk in verband met persoonsgegevens die de gegevens van Klant raakt zonder onredelijke vertraging en uiterlijk binnen 24 uur nadat hij die heeft ontdekt aan Klant (art. 33 lid 2 AVG), via het e-mailadres van de eigenaar-gebruiker van Klant en zo mogelijk ook telefonisch. "Ontdekt" betekent: het moment waarop Leverancier redelijkerwijs zeker is dat zich een inbreuk heeft voorgedaan. Een melding van een subverwerker aan Leverancier geldt als ontdekking. Meldingen en vragen van Klant over een (vermoede) inbreuk gaan naar support@servcycle.nl.

8.2 De melding bevat, voor zover op dat moment bekend, ten minste wat Klant nodig heeft voor zijn eigen melding (art. 33 lid 3 AVG):

• wat er gebeurd is en wanneer, en wanneer het is ontdekt;
• welke soorten gegevens en ongeveer hoeveel betrokkenen en registraties het raakt;
• de waarschijnlijke gevolgen;
• de maatregelen die Leverancier heeft genomen of voorstelt om de inbreuk te stoppen en de gevolgen te beperken;
• een contactpersoon bij Leverancier.

Wat nog niet bekend is, vult Leverancier in fasen aan zodra hij het weet, zodat Klant zijn termijn van 72 uur (art. 33 lid 1 AVG) kan halen.

8.3 Klant beslist of de inbreuk wordt gemeld aan de Autoriteit Persoonsgegevens en aan de betrokkenen (art. 33 en 34 AVG). Leverancier meldt niet zelf aan hen, tenzij de wet hem daartoe verplicht. Leverancier helpt Klant bij de melding en bij het informeren van betrokkenen, en communiceert niet zelf met betrokkenen, pers of toezichthouder over de inbreuk zonder afstemming met Klant.

8.4 Leverancier houdt een overzicht bij van alle inbreuken die de gegevens van Klant raken, met de feiten, de gevolgen en de genomen maatregelen (art. 33 lid 5 AVG), en stelt dat op verzoek ter beschikking.

8.5 De kosten van de melding en van het beperken van de gevolgen zijn voor de partij aan wier kant de oorzaak van de inbreuk ligt; ligt de oorzaak bij een subverwerker, dan geldt die als de kant van Leverancier. Is de oorzaak niet vast te stellen of ligt zij bij geen van beiden, dan draagt elke partij de eigen kosten.

Artikel 9: Rechten van betrokkenen, DPIA en verdere bijstand (art. 28 lid 3 onder e en f AVG)

9.1 Klant kan de meeste verzoeken van betrokkenen (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar) zelf in de Dienst afhandelen: gegevens inzien, corrigeren, verwijderen, en exporteren. Waar dat niet lukt, helpt Leverancier binnen tien Werkdagen, zodat Klant de termijn van artikel 12 lid 3 AVG kan halen.

9.2 Krijgt Leverancier zelf een verzoek van een betrokkene (via support@servcycle.nl of anderszins), dan stuurt hij dat binnen twee Werkdagen zonder inhoudelijke reactie door aan Klant en laat hij de betrokkene weten dat hij dat gedaan heeft.

9.3 Leverancier helpt Klant, voor zover redelijk en gelet op de informatie die hij heeft, bij het nakomen van artikel 32 tot en met 36 AVG: beveiliging, meldplichten, een gegevensbeschermingseffectbeoordeling (DPIA) en een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens. Daartoe stelt Leverancier op verzoek ter beschikking: Bijlage A tot en met D van deze overeenkomst, een beschrijving van de gegevensstromen van de Dienst, en de beschikbare rapporten en certificeringen van de subverwerkers.

9.4 Bijstand onder dit artikel die meer dan twee uur per kalenderjaar kost, mag Leverancier in rekening brengen tegen zijn dan geldende uurtarief, behalve als de bijstand nodig is door een tekortkoming van Leverancier.

Artikel 10: Informatie en audit (art. 28 lid 3 onder h AVG)

10.1 Leverancier stelt Klant op verzoek alle informatie ter beschikking die nodig is om aan te tonen dat hij artikel 28 AVG en deze overeenkomst nakomt. In de eerste plaats door een schriftelijke toelichting op de maatregelen uit Bijlage C, het verwerkingsregister van Bijlage D, en de certificeringen en rapporten van de subverwerkers (zoals SOC 2- en ISO 27001-rapporten) waar die beschikbaar zijn.

10.2 Vindt Klant dat onvoldoende, dan mag hij ten hoogste eenmaal per kalenderjaar een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte deskundige, na een aankondiging van ten minste 30 dagen, op Werkdagen en op basis van een vooraf gedeeld auditplan. Bij een concreet vermoeden van een ernstige tekortkoming of na een inbreuk mag dat vaker en met een kortere aankondiging. Een audit verstoort de bedrijfsvoering van Leverancier niet onnodig, strekt zich niet uit tot de gegevens van andere klanten, en geeft geen toegang tot de systemen van subverwerkers; daarvoor gelden hun eigen auditrapporten.

10.3 De kosten van een audit zijn voor Klant, tenzij de audit een tekortkoming van Leverancier van betekenis aantoont; dan draagt Leverancier de redelijke kosten van de audit. Leverancier herstelt gevonden tekortkomingen binnen een redelijke termijn en bevestigt dat schriftelijk.

Artikel 11: Einde: teruggave en verwijdering (art. 28 lid 3 onder g AVG)

11.1 Na het einde van de Hoofdovereenkomst levert Leverancier Klant op verzoek, binnen 30 dagen na dat verzoek, een volledige export van zijn gegevens: de database in een gangbaar, machineleesbaar formaat (CSV per tabel of een PostgreSQL-dump) en de opgeslagen foto's en bestanden. Het verzoek moet binnen 30 dagen na het einde binnen zijn.

11.2 Uiterlijk 30 dagen na levering van de export, of - als Klant geen export vraagt - uiterlijk 60 dagen na het einde van de Hoofdovereenkomst, verwijdert Leverancier de database en de bestandsopslag van Klant definitief (door het databaseproject bij de subverwerker te verwijderen) en bevestigt hij dat schriftelijk. Klant kiest daarmee voor wissen; wil Klant uitsluitend teruggave zonder dat Leverancier een kopie houdt, dan is de export van 11.1 die teruggave.

11.3 Back-ups worden niet afzonderlijk gewist maar verlopen vanzelf. Bij de huidige inrichting worden dagelijkse back-ups 7 dagen bewaard; uiterlijk 7 dagen na de verwijdering van 11.2 zijn ook die weg. Tot dat moment blijven ze onder deze overeenkomst vallen en worden ze niet gebruikt.

11.4 Is Leverancier op grond van Unierecht of Nederlands recht verplicht gegevens langer te bewaren (zoals factuurgegevens onder de fiscale bewaarplicht), dan bewaart hij alleen die gegevens, alleen zolang dat moet, en verwerkt hij ze verder niet.

Artikel 12: Aansprakelijkheid

12.1 Voor de aansprakelijkheid van partijen tegenover elkaar geldt artikel 14 van de Algemene voorwaarden ServCycle, ook voor schade door schending van deze overeenkomst of de AVG. Het plafond van artikel 14.3 van die voorwaarden geldt dus ook voor privacyschade; er geldt geen apart plafond.

12.2 Niets in deze overeenkomst beperkt de rechten van betrokkenen op grond van artikel 82 AVG of de bevoegdheid van de Autoriteit Persoonsgegevens. Wordt een partij door een betrokkene of de toezichthouder aangesproken voor een schending die (mede) aan de andere partij is toe te rekenen, dan draagt die andere partij dat deel van de schade of boete dat met haar aandeel overeenkomt (art. 82 lid 5 AVG), binnen de grenzen van 12.1.

Artikel 13: Slotbepalingen

13.1 Wijzigingen van deze overeenkomst zijn alleen geldig als partijen ze schriftelijk (waaronder per e-mail) zijn overeengekomen. Bijlage B wordt gewijzigd volgens artikel 6; Bijlage C en D houdt Leverancier actueel volgens artikel 5.2 en 10.1. Leverancier mag deze overeenkomst eenzijdig aanpassen als een wetswijziging, een uitspraak van een rechter of een besluit van de Europese Commissie of de Autoriteit Persoonsgegevens dat vereist; hij kondigt dat één maand vooraf aan.

13.2 Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter van de rechtbank Noord-Holland.

13.3 Is een bepaling nietig of vernietigbaar, dan blijven de overige bepalingen gelden. Partijen vervangen de ongeldige bepaling dan door een geldige die zo dicht mogelijk bij de bedoeling ligt.

13.4 Deze overeenkomst kan worden ondertekend op papier, met een elektronische handtekening, of door aanvaarding op het aanmeldscherm van de Dienst (zie Bijlage 1 van de Algemene voorwaarden); Leverancier bewaart de aanvaarding met datum en versie.

Ondertekend

Bijlage A: Persoonsgegevens en betrokkenen

A.1 Wat er verwerkt wordt

A.2 Technische en koppelingsgegevens

Toegangssleutels voor koppelingen die Klant zelf instelt (postbus via Microsoft 365, Google of SMTP; agenda; boekhoudpakket) worden opgeslagen om de koppeling te laten werken. Ze zijn niet via de app of de API leesbaar, ook niet voor de eigenaar die ze instelde.

A.3 Wat er níét in hoort

De Dienst is niet bedoeld voor bijzondere categorieën van persoonsgegevens (art. 9 AVG, zoals gezondheid), gegevens van strafrechtelijke aard (art. 10 AVG) of het burgerservicenummer (art. 46 UAVG). Klant zet ze er niet in, ook niet in vrije tekstvelden of als reden van afwezigheid van een medewerker (schrijf "afwezig", niet "ziek").

A.4 Bewaartermijnen in de Dienst

Klant bepaalt hoe lang hij zijn gegevens bewaart en kan ze zelf verwijderen. Een aantal termijnen zit vast in het systeem:

Klant kan per klant een dossier downloaden met alles wat over die klant is vastgelegd (voor een verzoek om inzage of overdracht), en alle persoonsgegevens van één klant in één keer laten wissen ("Klant laten vergeten"). Werkbonnen, regels en bedragen blijven daarbij staan, zonder namen, zodat Klant aan zijn wettelijke bewaarplicht kan blijven voldoen. Documenten in het klantdossier beoordeelt Klant daarna zelf.

Bijlage B: Subverwerkers

B.1 Subverwerkers van Leverancier

Stand: 23 oktober 2026 (Anthropic en HubSpot toegevoegd; zij zaten al in de Dienst). De DPF-status is die van de certificeringslijst op dataprivacyframework.gov op die datum, zoals opgegeven door de subverwerker zelf; Leverancier controleert die jaarlijks.

Foutmonitoring (bijvoorbeeld Sentry) is nog niet in gebruik; wordt die ingevoerd, dan volgt dat de procedure van artikel 6.2 vóórdat hij live gaat.

B.2 Koppelingen die Klant zelf afneemt (geen subverwerkers van Leverancier)

Alleen van toepassing als Klant de koppeling aanzet:

B.3 Wijzigingen

Deze bijlage wordt gewijzigd volgens artikel 6.2. De actuele lijst staat ook op https://www.servcycle.nl/subverwerkers; Leverancier houdt die pagina bij.

Bijlage C: Beveiligingsmaatregelen

Alleen wat er feitelijk is. Wat nog moet gebeuren voordat deze overeenkomst getekend wordt, staat in LEESMIJ.md.

C.1 Scheiding en locatie

• Elke klant heeft een eigen database en eigen bestandsopslag (een eigen Supabase-project), niet gedeeld met andere klanten van Leverancier.
• Opslag en verwerking in de EER: Frankfurt (database, opslag, serverfuncties), Ierland (mailverzending). Zie artikel 7 voor toegang op afstand.

C.2 Toegang voor gebruikers van Klant

• Inloggen met e-mailadres en wachtwoord van minimaal 12 tekens.
• Tweestapsverificatie met een authenticator-app (TOTP), per gebruiker in te stellen. Wie het heeft ingesteld komt zonder geldige code niet bij de gegevens; die grens zit in het toegangstoken, niet alleen in het scherm.
• Medewerkers worden door de eigenaar uitgenodigd. Wie zichzelf aanmeldt, krijgt pas toegang als de eigenaar hem vrijgeeft. De eigenaar kan gebruikers blokkeren.
• Rollen (eigenaar, planner, monteur) met afgebakende rechten. Die rechten zitten in de database zelf (row level security en rechten per kolom), niet alleen in de gebruikersinterface; ze gelden ook bij rechtstreekse aanroepen van de API. Een monteur ziet alleen zijn eigen werkorders en de klanten en locaties die daarbij horen.
• Een definitief gemaakte werkbon is in de database vergrendeld tegen wijziging.

C.3 Gedeelde links

• Afspraken, werkbonnen, certificaten en agenda's voor klanten van Klant worden gedeeld via een link met een willekeurige, niet te raden sleutel (UUID). Achter de link zit een databasefunctie die alleen teruggeeft wat op die pagina hoort. Een werkbon is pas te zien als kantoor hem definitief heeft gemaakt, een certificaat pas als het is vrijgegeven; de gedeelde werkbon toont geen prijzen.
• Gedeelde agendabestanden worden niet in een cache bewaard en vragen zoekmachines ze niet te indexeren.

C.4 Geheimen

• Toegangssleutels voor koppelingen (postbus, agenda, boekhouding) zijn via rechten per kolom afgeschermd: alleen de serverfuncties kunnen ze lezen, niet de app of de API.
• Mail via een eigen mailserver gaat alleen over een versleutelde verbinding; biedt de server geen versleuteling, dan wordt er niet verstuurd.

C.5 Versleuteling

• Onderweg: alle verbindingen met de app, de API en de database lopen over HTTPS/TLS (TLS 1.2 of hoger).
• In opslag: database, bestandsopslag en back-ups staan op versleutelde opslag bij de hostingpartij (AES-256; volgens de beveiligingsdocumentatie van Supabase en Vercel).
• Wachtwoorden worden alleen als hash opgeslagen.
• Foto's staan in een niet-openbare opslag en zijn alleen via tijdelijk geldige, ondertekende links te zien.

C.6 Back-ups en continuïteit

• Dagelijkse back-up van de database, 7 dagen bewaard, in dezelfde regio (Supabase Pro).
• Verwijderde werkorderregels en foto's staan 30 dagen in een prullenbak voordat ze echt weg zijn.
• Een waarnemer met toegang tot de beheeromgevingen is aangewezen (artikel 17.6 van de Algemene voorwaarden).

C.7 Logging

• Wijzigingen aan werkorders worden per werkorder in een logboek vastgelegd (wie, wat, wanneer).
• Beheeracties (rollen, blokkades, prijzen, instellingen, sjablonen) komen in een beheerlogboek, geschreven door de database zelf; alleen de eigenaar kan het lezen, en niemand kan er via de API iets in zetten of uit halen. Geheime waarden worden niet gelogd.
• De hostingpartijen houden toegangs- en foutlogboeken bij volgens hun eigen termijnen.

C.8 Organisatorisch

• Toegang tot de beheeromgevingen (Supabase, Vercel, Resend, Hostnet, de broncode) is beperkt tot Leverancier en zijn waarnemer, met tweestapsverificatie op die accounts.
• Leverancier kijkt alleen in de gegevens van Klant voor beheer, het oplossen van een storing, of op verzoek van Klant.
• Wijzigingen aan het databaseschema worden als genummerde migraties vastgelegd en eerst op een demo-omgeving zonder gegevens van Klant uitgerold, waar geautomatiseerde rechtentoetsen controleren dat elke rol alleen ziet en wijzigt wat hij mag.
• Leverancier heeft een schriftelijke procedure voor het afhandelen en registreren van inbreuken (artikel 8): wie constateert, wie beoordeelt, melding aan Klant binnen 24 uur, registratie in het inbreukenregister, evaluatie achteraf.
• De demo-omgeving bevat geen gegevens van Klant: de klanten erin zijn verzonnen. Wel staan er gegevens van Leverancier zelf in (aanvragen via de website van Leverancier en bezoeken aan de demo), waarvoor Leverancier zelf verantwoordelijk is.
• Leverancier beoordeelt zijn subverwerkers jaarlijks op certificeringen, DPF-status en wijzigingen in hun verwerkersovereenkomst.

Bijlage D: Verwerkingsregister van Leverancier als verwerker (art. 30 lid 2 AVG)

Dit is het register dat Leverancier als verwerker bijhoudt, voor zover het de verwerking voor Klant betreft. Leverancier houdt het centraal bij voor al zijn klanten en stelt het op verzoek aan de Autoriteit Persoonsgegevens en aan Klant ter beschikking.

Subverwerkers: Bijlage B. Laatste bijwerking: 23 oktober 2026.

*Versie 1.0, 23 oktober 2026. SA Factory h.o.d.n. ServCycle, Kennemerplein 6, 2011 MJ Haarlem, KvK 88199517.*