Verwerkersovereenkomst volgens art. 28 AVG

SiteLager verwerkt persoonsgegevens in opdracht van de verwerkingsverantwoordelijke om hem de SiteLager-software en de marktplaats volgens de algemene voorwaarden deel A te leveren. De overeenkomst loopt zolang de SiteLager-overeenkomst en daarna totdat SiteLager de gegevens volgens punt 10 heeft gewist of teruggegeven.

SiteLager verzamelt, bewaart, ordent, toont, verzendt (bijvoorbeeld per e-mail aan huurders), analyseert op instructie (rapporten, exports) en wist gegevens voor de volgende doeleinden: beheer van locaties en opslagunits, reserveringen en boekingen, huurovereenkomsten en elektronische handtekeningen, facturen, betalingen, aanmaningen en borgsommen, toegangsgegevens, taken, inspecties en schademeldingen en de communicatie met huurders en geïnteresseerden.

Geen onderwerp van deze overeenkomst zijn gegevens die SiteLager als zelfstandige verwerkingsverantwoordelijke verwerkt, zoals gebruikersaccounts en boekingsaanvragen op de marktplaats, beoordelingen en meldingen van inhoud; daarvoor geldt de privacyverklaring.

Betrokkenen zijn huurders en geïnteresseerden van de verwerkingsverantwoordelijke (consumenten en ondernemingen en hun contactpersonen), betalingsplichtigen en de medewerkers van de verwerkingsverantwoordelijke met toegang tot de software.

Verwerkt worden:

• contactgegevens: naam, adres, e-mailadres, telefoonnummer, taal,
• contractgegevens: huurovereenkomsten, units, looptijden, prijzen, opzeggingen, herroepingen, handtekeningen,
• factuur- en betaalgegevens: facturen, creditnota's, betalingen, aanmaningen, borgsommen, SEPA-mandaten met IBAN en rekeninghouder,
• identiteitsbewijzen: kopieën en controleresultaten, voor zover de verwerkingsverantwoordelijke voor een locatie een identiteitscontrole verlangt,
• toegangsgegevens: deurcodes en toegangsgebeurtenissen, voor zover aanwezig,
• communicatie- en loggegevens: e-mails aan huurders, notities, taken, wijzigingslogboek.

Bijzondere categorieën persoonsgegevens (art. 9 AVG) verwerkt SiteLager niet volgens bestemming; de verwerkingsverantwoordelijke voert zulke gegevens niet in de software in.

SiteLager verwerkt de gegevens uitsluitend op gedocumenteerde instructie van de verwerkingsverantwoordelijke, ook met betrekking tot doorgifte naar derde landen, tenzij SiteLager daartoe op grond van Unierecht of lidstatelijk recht verplicht is; in dat geval stelt SiteLager de verwerkingsverantwoordelijke vóór de verwerking van dat wettelijke voorschrift in kennis, tenzij dat recht dit verbiedt (art. 28 lid 3 sub a AVG). Instructies zijn deze overeenkomst, de algemene voorwaarden en de bediening van de software door de verwerkingsverantwoordelijke en zijn medewerkers; verdere instructies geeft de verwerkingsverantwoordelijke in tekstvorm aan info@sitelager.com. Acht SiteLager een instructie onrechtmatig, dan wijst SiteLager daar onverwijld op en mag de uitvoering opschorten totdat de verwerkingsverantwoordelijke haar bevestigt of wijzigt.

SiteLager waarborgt dat de tot verwerking gemachtigde personen zich tot vertrouwelijkheid hebben verplicht of door een passende wettelijke geheimhoudingsplicht gebonden zijn (art. 28 lid 3 sub b AVG). Toegang krijgen alleen personen die deze voor exploitatie, onderhoud of support nodig hebben. Tot het dashboard van de verwerkingsverantwoordelijke krijgt SiteLager alleen op diens verzoek toegang via een in tijd beperkte supportsessie, over het begin waarvan de eigenaren per e-mail worden geïnformeerd; elke wijziging in zo'n sessie wordt gelogd.

SiteLager neemt de in bijlage 1 beschreven maatregelen volgens art. 32 AVG. Zij zijn onderhevig aan de technische vooruitgang; SiteLager mag ze vervangen door gelijkwaardige of betere maatregelen zonder het beschermingsniveau te verlagen. Wezenlijke wijzigingen worden gedocumenteerd en in de actuele versie van deze pagina gepubliceerd.

De verwerkingsverantwoordelijke keurt de in bijlage 2 genoemde subverwerkers goed. SiteLager informeert de verwerkingsverantwoordelijke ten minste 30 dagen vóór de inschakeling of vervanging van een subverwerker per e-mail aan de eigenaren. Binnen deze termijn kan de verwerkingsverantwoordelijke om een gewichtige reden op het gebied van gegevensbescherming in tekstvorm bezwaar maken; worden de partijen het niet eens, dan kan de verwerkingsverantwoordelijke de SiteLager-overeenkomst opzeggen tegen de datum van de wijziging. SiteLager legt elke subverwerker contractueel dezelfde verplichtingen inzake gegevensbescherming op als in deze overeenkomst zijn vastgelegd (art. 28 lid 4 AVG) en is aansprakelijk voor de naleving daarvan. Betaaldienstverleners zoals Mollie B.V. handelen op grond van eigen overeenkomsten met de verwerkingsverantwoordelijke als zelfstandige verwerkingsverantwoordelijken en zijn geen subverwerkers.

SiteLager ondersteunt de verwerkingsverantwoordelijke met passende technische en organisatorische maatregelen bij het nakomen van de rechten van betrokkenen (art. 12 tot en met 22 AVG): de software biedt per huurder een gegevensexport als bestand, rectificatie, wissing door anonimisering, bewaarplichten en exports. Wendt een betrokkene zich tot SiteLager, dan stuurt SiteLager het verzoek onverwijld door aan de verwerkingsverantwoordelijke. SiteLager ondersteunt de verwerkingsverantwoordelijke daarnaast bij de verplichtingen volgens art. 32 tot en met 36 AVG (beveiliging van de verwerking, meldingen, gegevensbeschermingseffectbeoordeling, voorafgaande raadpleging), rekening houdend met de aard van de verwerking en de beschikbare informatie.

SiteLager meldt de verwerkingsverantwoordelijke een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging nadat zij hem bekend is geworden, in de regel binnen 24 uur, per e-mail aan de eigenaren (art. 33 lid 2 AVG). De melding bevat, voor zover bekend, de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevensrecords, de waarschijnlijke gevolgen, de getroffen en voorgestelde maatregelen en een contactpunt; ontbrekende gegevens worden nagezonden zodra ze beschikbaar zijn. De melding aan de toezichthoudende autoriteit en de kennisgeving aan betrokkenen zijn de verantwoordelijkheid van de verwerkingsverantwoordelijke; SiteLager ondersteunt hem daarbij.

Na het einde van de SiteLager-overeenkomst kan de verwerkingsverantwoordelijke zijn gegevens 30 dagen lang via de exportfuncties opvragen (teruggave). Daarna wist SiteLager de gegevens met inbegrip van bestaande kopieën, tenzij opslag op grond van Unierecht of lidstatelijk recht verplicht is (art. 28 lid 3 sub g AVG, algemene voorwaarden punt A.10). Gegevens in back-ups worden gewist zodra deze volgens schema worden overschreven. Op verzoek bevestigt SiteLager de wissing in tekstvorm. Tijdens de looptijd van de overeenkomst wist SiteLager gegevens automatisch volgens de in de privacyverklaring genoemde termijnen en op instructie van de verwerkingsverantwoordelijke.

SiteLager stelt de verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen uit art. 28 AVG aan te tonen en maakt audits, waaronder inspecties, mogelijk door de verwerkingsverantwoordelijke of een door hem gemachtigde, tot geheimhouding verplichte controleur (art. 28 lid 3 sub h AVG). Audits worden met een redelijke termijn, in de regel 14 dagen, aangekondigd en tijdens de gebruikelijke kantooruren uitgevoerd zonder de bedrijfsvoering te verstoren. Voor het datacenter volstaan de bewijsstukken van de hostingaanbieder (certificeringen, auditrapporten). SiteLager kan het bewijs bij voorrang leveren door middel van inlichtingen en documenten. Iedere partij draagt haar eigen kosten.

Voor de aansprakelijkheid van de partijen jegens elkaar geldt punt A.9 van de algemene voorwaarden, voor zover art. 82 AVG niet dwingend anders bepaalt. Jegens betrokkenen zijn de partijen aansprakelijk volgens art. 82 AVG.

Bij tegenstrijdigheden gaat deze overeenkomst voor op de algemene voorwaarden voor zover het de bescherming van persoonsgegevens betreft. Wijzigingen van deze overeenkomst kondigt SiteLager ten minste zes weken vóór de inwerkingtreding per e-mail aan; de nieuwe versie wordt in het dashboard ter aanvaarding aangeboden. Het recht van de Bondsrepubliek Duitsland is van toepassing; de bevoegde rechter volgt uit punt A.17 van de algemene voorwaarden.

Het platform draait op een virtuele server (droplet) van DigitalOcean in het datacenter in Frankfurt am Main (regio FRA1), die SiteLager deelt met één andere toepassing van zijn eigenaar. Database (PostgreSQL), documentopslag (MinIO) en de toepassingen draaien daar in gescheiden containers. Fysieke toegang, stroomvoorziening, koeling en brandbeveiliging van het datacenter liggen bij DigitalOcean, dat daarvoor eigen bewijsstukken (certificeringen, auditrapporten) publiceert.

Beheertoegang bestaat alleen via SSH met een sleutel; aanmelden met een wachtwoord is uitgeschakeld. Een firewall (ufw) laat alleen SSH, HTTP en HTTPS toe, fail2ban blokkeert adressen na herhaalde mislukte pogingen. Alleen de eigenaar van SiteLager heeft toegang tot de server. De database is niet bereikbaar vanaf het internet; uit de documentopslag zijn alleen de openbare foto's van advertenties en de achtergronden van plattegronden rechtstreeks op te vragen.

Aanmelden gebeurt met e-mailadres en wachtwoord (ten minste 10 tekens uit drie tekensoorten, gecontroleerd tegen veelgebruikte wachtwoorden, alleen als bcrypt-hash opgeslagen). Een tweede factor via een e-mailcode is beschikbaar; de verwerkingsverantwoordelijke kan die voor alle medewerkers verplicht stellen. Na herhaalde mislukte pogingen wordt het aanmelden tijdelijk geblokkeerd. Sessies gebruiken kortlevende toegangstokens en intrekbare vernieuwingstokens in HttpOnly-cookies.

Rollen (eigenaar, boekhouding, locatiebeheer, medewerkers) hebben vastgelegde rechten; medewerkers kunnen tot afzonderlijke locaties worden beperkt en zien geen gegevens van andere locaties. Elke organisatie ziet alleen haar eigen gegevens; de toewijzing wordt bij elk verzoek op de server gecontroleerd. API-sleutels krijgen alleen de rechten die bij het aanmaken zijn gekozen.

Medewerkers van SiteLager openen het dashboard van een verwerkingsverantwoordelijke alleen op diens verzoek via een gemotiveerde, in tijd beperkte supportsessie. Het begin wordt in het wijzigingslogboek van de organisatie vastgelegd en de eigenaren worden per e-mail geïnformeerd; elke wijziging in de sessie wordt in het wijzigingslogboek en als beveiligingsgebeurtenis vastgelegd. Ingrijpende handelingen zijn in supportsessies geblokkeerd: het uitnodigen en verwijderen van teamleden en het wijzigen van hun rol of locatiebeperking; het koppelen, wijzigen en ontkoppelen van de betaalrekening en het wijzigen van de bankgegevens en het incassant-ID van de organisatie; terugbetalingen van elke soort, dat wil zeggen elke terugbetaling via de betaaldienstverlener, het terugbetalen van een te veel betaald bedrag, het annuleren van een factuur waarop al is betaald, het afhandelen van een herroeping, het afronden van een vertrek met de afrekening van de borg en het vastleggen van een terugbetaling van de borg of van een rekening voor een terugbetaling; het wissen van persoonsgegevens; het afsluiten, wijzigen en opzeggen van het SiteLager-abonnement; het verwijderen van locaties en units; het aanmaken en verwijderen van API-sleutels en webhooks; het verplicht stellen van een inlogcode voor alle medewerkers en het aanvragen en intrekken van de opzegging. Elke zodanige poging wordt geweigerd en als beveiligingsgebeurtenis vastgelegd. Alleen een eigenaar zelf kan deze overeenkomst aanvaarden.

Gegevens worden alleen versleuteld verzonden (TLS, HTTP Strict Transport Security). IBAN's van huurders (incassomachtigingen, terugbetalingsrekeningen) en toegangscodes zijn in de database bovendien per veld versleuteld met AES-256-GCM; de sleutel staat gescheiden van de database in de serverconfiguratie. Bestanden in de documentopslag zijn niet openbaar en alleen op te vragen via ondertekende links met een korte geldigheid. Een aanvullende versleuteling aan de serverzijde van de documentopslag is momenteel niet ingericht.

Wijzigingen aan overeenkomsten, facturen, betalingen, klanten, instellingen en rechten worden met tijdstip, handelende persoon en inhoud van de wijziging vastgelegd in een wijzigingslogboek dat de database beschermt tegen latere wijziging en verwijdering. Server- en toegangslogboeken worden 90 dagen bewaard. Foutrapporten aan Sentry (verwerking in de EU) bevatten geen inhoud van verzoeken, cookies, headers, gebruikersgegevens of IP-adressen.

De database wordt dagelijks op de server geback-upt. De documentopslag wordt dagelijks gespiegeld naar een tweede locatie zodra deze is ingericht; back-ups van de volledige server via DigitalOcean komen daarbij zodra ze zijn ingericht. De actuele stand deelt SiteLager op verzoek mee. Het herstel volgt een gedocumenteerde procedure en wordt beproefd. Beschikbaarheid en toestand van de server worden bewaakt; bij storingen wordt de eigenaar van SiteLager gealarmeerd.

In de documentopslag worden alleen pdf-bestanden en gangbare afbeeldingsformaten (JPEG, PNG, WebP, HEIC) geüpload; foto's van advertenties en inspecties en achtergronden van plattegronden alleen als JPEG, PNG of WebP. Elk zodanig bestand wordt gecontroleerd aan de hand van de werkelijke inhoud en niet alleen de extensie of het type dat de browser opgeeft, maximaal 15 MB per bestand. Bankafschriften en huurderslijsten voor een import worden alleen ingelezen en niet opgeslagen. Bestanden worden met het gecontroleerde bestandstype aangeboden: pdf's en afbeeldingen om in de browser te bekijken, andere bestanden alleen als download; uitvoerbare inhoud zoals HTML of scripts wordt niet geaccepteerd. Een controle op malware vindt momenteel niet plaats; SiteLager aanvaardt dit restrisico bewust en beoordeelt de inzet van een scanner naarmate het gebruik groeit.

Alle personen met toegang zijn tot vertrouwelijkheid verplicht; toegang is er alleen voor zover die voor de taak nodig is. Voor inbreuken in verband met persoonsgegevens bestaat een gedocumenteerde procedure met melding aan de verwerkingsverantwoordelijke. SiteLager beoordeelt deze maatregelen ten minste jaarlijks en na elke wezenlijke wijziging van het platform.

• Dienst: hosting van de servers, de database en de documentopslag
• Plaats van verwerking: datacenter Frankfurt am Main, Duitsland (regio FRA1)
• Gegevens: alle gegevens van het platform
• Waarborgen: verwerkersovereenkomst van DigitalOcean met de standaardcontractbepalingen van de Europese Commissie; voor mogelijke toegang vanuit de VS het EU-US Data Privacy Framework, voor zover DigitalOcean daaronder gecertificeerd is

• Dienst: verzending van e-mails (boekingsbevestigingen, facturen, aanmaningen, meldingen)
• Plaats van verwerking: Europese Unie
• Gegevens: e-mailadres en naam van de ontvangers, inhoud van de e-mails met bijlagen, bezorgstatus
• Waarborgen: verwerkersovereenkomst van Brevo; gevestigd in de EU

• Dienst: registratie van programmafouten, indien ingeschakeld
• Plaats van verwerking: Europese Unie (EU-regio van Sentry)
• Gegevens: aard en plaats van een fout en het opgevraagde adres; geen inhoud van verzoeken, cookies, headers, gebruikersgegevens of IP-adressen
• Waarborgen: verwerkersovereenkomst van Sentry met de standaardcontractbepalingen van de Europese Commissie; EU-US Data Privacy Framework

• Dienst: kaarttegels voor locatiekaarten en omzetting van locatieadressen in coördinaten
• Plaats van verwerking: Zwitserland en Europese Unie
• Gegevens: IP-adres bij het laden van een kaart, adressen van locaties; geen huurdersgegevens
• Waarborgen: adequaatheidsbesluit van de Europese Commissie voor Zwitserland; verwerkersvoorwaarden van MapTiler