Bijlage 1 — Verwerkersovereenkomst

Versie 1.3, geldt sinds 1 november 2026.

Dit stuk is bijlage 1 bij onze algemene voorwaarden en is daar onlosmakelijk deel van; het geldt zolang die voorwaarden op de klant van toepassing zijn. Ze staan op e-kompas.nl/voorwaarden, en de begrippen daaruit hebben hier dezelfde betekenis. Opgesteld langs artikel 28 lid 3 AVG.

Een aparte ondertekening is niet nodig. Dit stuk gaat gelden met de voorwaarden: zodra de klant de opdrachtbevestiging getekend aan ons terugstuurt, of bij een gratis proef zodra hij de proefomgeving in gebruik neemt (artikel 3 van de voorwaarden). Wil de klant er toch een handtekening onder, dan werken wij daaraan mee.

Partijen: de klant, als verwerkingsverantwoordelijke, en wij, als verwerker.

Artikel 1 — Onderwerp en duur

1. Wij verwerken persoonsgegevens voor de klant door de omgeving te draaien waarin hij zijn middelen, keuringen en certificaten vastlegt.
2. Deze verwerkersovereenkomst geldt zolang de overeenkomst met de klant loopt, en daarna tot wij de gegevens van de klant hebben verwijderd (artikel 10).
3. Voor onze eigen gegevens zijn wij verantwoordelijke en geen verwerker. Dat gaat om de contactpersoon bij de klant, onze facturatie en wat wij over de omgeving zelf bijhouden — verwerking 6 in ons verwerkingsregister, dat wij op verzoek verstrekken (artikel 11). Die gegevens vallen buiten dit stuk; daarvoor geldt onze privacyverklaring. Deze twee rollen door elkaar halen is de meest gemaakte fout in een verwerkersovereenkomst, en daarom staat het hier.

Artikel 2 — Welke gegevens, van wie, waarvoor

Van wie: de gebruikers van de klant; ons supportaccount; en mensen van wie de klant zelf een naam vastlegt, zoals een keurmeester op een certificaat.

Welke gegevens, en waarvoor:

De applicatie is niet ingericht op bijzondere persoonsgegevens (artikel 9 AVG) of strafrechtelijke gegevens (artikel 10). Ze horen hier niet in, en de klant zet ze dan ook niet in een vrij tekstveld en niet in een document dat hij uploadt. Hij is daar zelf verantwoordelijk voor, want wij zien niet wat hij typt of uploadt. Komen ze er toch in, dan krijgen ze geen andere bescherming dan de rest — en dat is precies de reden om ze er niet in te zetten.

Artikel 3 — Alleen in opdracht van de klant

1. Wij verwerken de gegevens alleen om de dienst uit de overeenkomst te leveren, en op schriftelijke instructie van de klant. Niet voor eigen doeleinden.
2. Wij halen geen gegevens uit de omgeving om onze software te verbeteren, tenzij de klant daar vooraf schriftelijk voor tekent, per keer. Dat geldt in het bijzonder voor de tekst die uit certificaten wordt gelezen: daar staan bedrijfsnamen, serienummers en soms namen van personen in.
3. Vinden wij een instructie in strijd met de AVG, dan zeggen wij dat de klant meteen.

Artikel 4 — Geheimhouding

Iedereen die voor ons bij de gegevens kan, is tot geheimhouding verplicht. Dat zijn op dit moment de twee oprichters.

Artikel 5 — Beveiliging

1. Wij nemen de maatregelen uit bijlage A.
2. Wij passen ze aan als de stand van de techniek of een risico daarom vraagt, en nooit zo dat de beveiliging erop achteruitgaat.

Artikel 6 — Subverwerkers

1. De klant geeft toestemming voor de subverwerkers in bijlage B. Dat is er op dit moment één partij: TransIP, in Nederland — voor de server, voor de mailserver waarmee het wekelijkse overzicht, de link om een wachtwoord te herstellen en de testmail van een beheerder worden verstuurd, en voor de postbus waarover een werkmap gaat als de klant overstapt van een ander systeem.
2. Het uitlezen van certificaten gebeurt op onze eigen server. Daar is geen subverwerker voor.
3. Willen wij een subverwerker toevoegen of vervangen, dan melden wij dat de klant ten minste dertig dagen van tevoren. De klant kan in die termijn bezwaar maken, en de overeenkomst opzeggen als wij er toch mee doorgaan.
4. Een subverwerker krijgt dezelfde verplichtingen als wij.

Artikel 7 — Rechten van betrokkenen

1. Een gebruiker die zijn gegevens wil inzien, verbeteren of laten verwijderen, gaat naar de beheerder van de klant. De beheerder kan dat in de applicatie zelf: gegevens inzien en verbeteren, een account uitzetten of — als het nooit iets heeft vastgelegd — verwijderen, het logboek per persoon bekijken.
2. Komt zo'n verzoek bij ons binnen, dan sturen wij het door naar de klant en doen wij er zelf niets mee.
3. Namen in de keuringshistorie blijven in beginsel staan. Ze staan op drie plekken, en die zijn niet hetzelfde:
   • Gebruikers van de klant, bij wat zij hebben vastgelegd: wie een keuring invoerde, wie een regel aanmaakte of wijzigde, en het logboek.
   • Wie de keuring uitvoerde, als verwijzing naar de lijst met leveranciers. Dat is een bedrijf en geen persoon, behalve als dat bedrijf naar zijn eigenaar heet. Het heeft hier geen account en is dus niet uit te zetten, en zolang er een keuring naar verwijst blijft het in die lijst staan.
   • Namen in de documenten die de klant aanlevert, zoals een kalibratierapport van zo'n bureau. Die bewaren wij zoals wij ze krijgen.

   Een gebruiker die weggaat wordt uitgezet; zijn naam blijft staan bij wat hij heeft vastgelegd, want een keuringsregistratie moet herleidbaar blijven. Zijn e-mailadres wordt bij het uitzetten gewist. Een account dat nooit iets heeft vastgelegd kan de beheerder ook verwijderen; het verdwijnt dan uit elke lijst en kan niet meer aanmelden, en alleen de naam en de gebruikersnaam blijven bewaard, zodat het logboek blijft zeggen wie er aanmeldde.

4. De klant bepaalt het doel, de grondslag en de bewaartermijn van die persoonsgegevens. Hij is verwerkingsverantwoordelijke en wij zijn verwerker; dat er namen in aangeleverde rapporten staan, verandert die rolverdeling niet.

   Verwijderen, beperken of corrigeren wordt per geval beoordeeld, aan de hand van de instructie van de klant, wat de AVG voorschrijft, en wat de applicatie technisch toelaat. Dat een naam in een aangeleverd rapport staat, is op zichzelf geen vrijstelling.

   Wij verwijderen of wijzigen uit onszelf niets wanneer dat de volledigheid of de herleidbaarheid van de registratie zou aantasten. Draagt de klant ons schriftelijk op het toch te doen, dan voeren wij dat uit voor zover de applicatie het toelaat, en zeggen wij erbij wat er niet kan.

5. Deze rolverdeling haalt onze eigen verplichtingen niet weg. Wat de AVG rechtstreeks aan een verwerker oplegt — beveiligen, subverwerkers, een datalek melden, meewerken aan een verzoek, en aan het eind teruggeven of wissen — blijft onverkort van ons, ook als de klant zijn grondslag anders invult.
6. Wij helpen de klant bij een verzoek waar hij zelf niet uitkomt. Dat doen wij kosteloos, tenzij het ons meer dan een uur werk kost; dan spreken wij vooraf af wat het mag kosten.

Artikel 8 — Datalekken

1. Wij melden een datalek onverwijld aan de klant, en uiterlijk binnen 24 uur nadat wij het ontdekten. Ook als wij nog niet alles weten; wat wij later te weten komen, melden wij erachteraan.
2. In de melding staat: wat er gebeurde en wanneer, welke gegevens het raakt en van ongeveer hoeveel mensen, wat de gevolgen kunnen zijn, en wat wij hebben gedaan om het te stoppen.
3. De klant beslist of hij meldt bij de Autoriteit Persoonsgegevens en aan de betrokkenen. Wij melden daar zelf niet.
4. Wij melden aan het meldadres dat de klant in de opdrachtbevestiging heeft opgegeven, en aan de contactpersoon die daar staat. De klant houdt dat adres bij; verandert het, dan laat hij het ons weten. De klant bereikt ons op: info@e-kompas.nl. Dat adres staat ook op de site en in ons verwerkingsregister; wij houden het bij, ook buiten kantoortijd. Een telefoonnummer publiceren wij niet.
5. Wat er achteraf te zien is, en wat niet. Het logboek laat zien wie wanneer aanmeldde, elke wijziging, elke export, en een regel als er tien keer binnen een uur mis werd aangemeld op een account of twintig certificaten binnen een uur werden opgehaald, of als een certificaat, document of afbeelding bij het openen niet meer is wat er is ingeladen (bijlage A, "Integriteit"). Het laat niet zien vanaf welk adres iemand aanmeldde, en niet wat iemand alleen bekeek. Wij leggen bewust geen IP-adressen vast.
6. Een nieuw wachtwoord beëindigt elke openstaande sessie van dat account. De klant kan daarmee bij een vermoeden van misbruik zelf direct ingrijpen.
7. Wij helpen de klant ook bij zijn verplichtingen uit artikel 32 tot en met 36 AVG, voor zover het de omgeving betreft.

Artikel 9 — Wat er in het logboek staat

Omdat de klant hierop vertrouwt bij een audit, precies:

1. Wel: elke wijziging aan exemplaren, types, categorieën, keuringen, onderhoud, meldingen, procedures, stickers, documenten, de leverancierslijst, eenheden, locaties, werkgebieden, gebruikers en instellingen, met wie en wanneer; elke aanmelding; elke export; en de regels uit artikel 8 lid 5.
2. Niet: wat iemand alleen bekijkt — ook niet als wij het zijn met het supportaccount; wachtwoorden; e-mailadressen; zoektermen; IP-adressen.
3. Bewaartermijnen: alles wat over de keuringen en de gebruikers gaat blijft staan zolang de omgeving bestaat. Aanmeldingen, mislukte aanmeldingen, wachtwoordwijzigingen, exports, opgehaalde certificaten en mail worden na 365 dagen automatisch verwijderd. De klant kan vragen die termijn anders in te stellen.

Artikel 10 — Bewaren, uitzetten, leegmaken en verwijderen

1. Keuringen worden na het vastleggen niet meer gewijzigd of verwijderd, ook niet door ons. Een fout wordt een correctie; de oorspronkelijke regel blijft staan.
2. Leegmaken. Op schriftelijk verzoek van de klant kunnen wij de hele omgeving leegmaken: alle categorieën met hun afbeelding, types, exemplaren met hun locatiegeschiedenis en meldingen, keuringen, onderhoudsbeurten, akkoorden op een onderbreking, procedures, stickers, externe nummers, certificaten en documenten tegelijk. Gebruikers, het logboek, eenheden, de lijst met locaties, de leverancierslijst, de werkgebieden, de soorten onderhoud en de meetbewerkingen blijven staan. Dat is de enige manier waarop keuringen verdwijnen. Er blijft één regel van staan in het logboek, op naam van ons supportaccount, met wat er is verwijderd.
3. Uitzetten wegens niet betalen is niet verwijderen. De gegevens blijven dan ongewijzigd staan, zoals in artikel 12 van de voorwaarden. Dat geldt ook voor de back-ups: zolang de omgeving is uitgezet, komt er geen bij en gaat er geen weg (artikel 12 lid 1 hieronder, en artikel 10 lid 1 van de voorwaarden).
4. Aan het einde kan de klant zijn gegevens nog dertig dagen ophalen, gerekend vanaf de dag waarop de overeenkomst eindigt; zie artikel 14 van de voorwaarden. Een verzoek dat binnen die dertig dagen binnenkomt, voeren wij uit, ook als het pas daarna klaar is. Daarna verwijderen wij de omgeving, de database, de certificaten, de documenten en de afbeeldingen. De back-ups lopen vanzelf af: uiterlijk een jaar na het verwijderen is de laatste weg. Vraagt de klant erom, dan halen wij ze meteen weg. Wij bevestigen de verwijdering schriftelijk, met de datum waarop de laatste back-up verdwijnt.
5. Wij bewaren niets langer dan hier en in artikel 12 staat, tenzij een wet ons dat verplicht.

Artikel 11 — Informatie en audits

1. Wij geven de klant de informatie die hij nodig heeft om aan te tonen dat hij aan de AVG voldoet, waaronder het verwerkingsregister voor zover het hem betreft.
2. De audit is getrapt, en dat is in het belang van allebei. Eerst leveren wij op verzoek onze eigen stukken: dit register, de maatregelen in bijlage A en de uitkomst van onze eigen controles. Blijven er daarna vragen open die daarmee niet te beantwoorden zijn, dan mag de klant eens per jaar — of na een datalek — een audit laten doen door een onafhankelijke deskundige die tot geheimhouding is verplicht.
3. Zo'n audit kondigt de klant ten minste dertig dagen van tevoren aan, en hij verstoort onze dienstverlening aan andere klanten niet. De kosten zijn voor de klant, tenzij de audit een tekortkoming van ons aan het licht brengt.

Artikel 12 — Back-ups en het uitoefenen van rechten

1. Verwijderen wij gegevens op verzoek van de klant of van een betrokkene, dan blijven ze nog in de back-ups staan tot die vanzelf verlopen. Dat is zeven nachten, en voor de maandback-ups ten hoogste een jaar, behalve zolang de omgeving is uitgezet: zolang hij uit staat, verloopt er geen back-up. Zie artikel 10 van de voorwaarden. Vraagt de klant erom, dan halen wij de back-ups meteen weg.
2. Wij halen niets uit een back-up weg. Een back-up is een momentopname die als geheel klopt, en erin knippen maakt hem onbruikbaar als hij ooit nodig is. Dit gaat dus over één regel uit een bestaande back-up snijden; het weggooien van een hele back-up is iets anders en staat in artikel 10 lid 4.
3. Wordt zo'n back-up teruggezet, dan voeren wij het verzoek daarna opnieuw uit.

Dit staat er omdat het waar is en niet omdat het mooi staat: een verwerkersovereenkomst die "onmiddellijk verwijderen" belooft terwijl er nachtelijke back-ups draaien, belooft iets wat niemand waarmaakt.

Artikel 13 — Doorgifte

De gegevens blijven in Nederland. Wij geven ze niet door buiten de Europese Economische Ruimte, en onze subverwerkers ook niet.

Bijlage A — Technische en organisatorische maatregelen

Scheiding

• Elke klant een eigen omgeving en een eigen database. Geen enkele query kan bij een andere klant komen, omdat die in een andere database staat.
• De applicatie is alleen via https bereikbaar; de poort van de applicatie zelf is alleen vanaf de server bereikbaar.

Toegang

• Vaste rollen: inzage, gebruiker — met of zonder beheerdersrecht — en ons supportaccount. Elke toegangscontrole zit in de server, niet alleen in het scherm.
• Wachtwoorden met Argon2 opgeslagen, ten minste acht tekens en geen veelgebruikt wachtwoord. Een wachtwoord dat een ander koos moet bij de eerste aanmelding worden vervangen. Elke gebruiker kan een tweede stap aanzetten: een code uit een authenticator-app, met herstelcodes.
• De sessie geldt hoogstens twaalf uur, door de server nagerekend, en eindigt bij een nieuw wachtwoord of het uitzetten van het account.
• Aanmelden is begrensd op vijf pogingen per minuut per gebruikersnaam, met daarnaast een dak van vijfhonderd per minuut per adres. Aan de reactietijd is niet af te lezen of een gebruikersnaam bestaat.

Vastleggen en zien

• Een logboek van elke wijziging en elke aanmelding, ook van het supportaccount, in te zien door de beheerder van de klant (artikel 9).
• Een melding in het logboek bij tien mislukte aanmeldingen op een account of twintig opgehaalde certificaten binnen een uur.

Integriteit

• Keuringen zijn na het vastleggen onveranderlijk.
• Van elk certificaat, elk document en elke afbeelding bij een categorie of type wordt bij het inladen een checksum vastgelegd, die bij elke keer openen wordt nagerekend. Klopt hij niet, dan wordt het bestand niet getoond en komt het in het logboek.
• Een certificaat dat bij een keuring hoort, kan niet aan een andere worden gehangen.

Beschikbaarheid

• Elke nacht een back-up van database en bestanden samen — certificaten, documenten en afbeeldingen. Zeven nachten bewaard, plus van elke maand één, twaalf maanden lang. Zolang een omgeving is uitgezet, komt er geen bij en gaat er geen weg.
• De back-ups staan op dezelfde server als de omgeving. Gaat die server verloren, dan zijn de back-ups dat ook.
• Voor elke bijwerking een back-up.

Minimalisatie

• Geen IP-adressen vastgelegd; geen zoektermen in de logboeken.
• Geen gegevens naar derden: geen externe lettertypen, scripts, statistieken of diensten voor het uitlezen van certificaten.
• Het e-mailadres van een uitgezette of verwijderde gebruiker wordt gewist.

Mensen

• In onze beheeromgeving, waar wij de omgevingen neerzetten en bijwerken, meldt ieder van ons zich aan met een eigen account en een verplichte tweede stap.
• Het supportaccount in de omgeving van de klant is één account voor ons tweeën, zonder tweede stap bij het aanmelden. In het logboek van de klant staat dus het supportaccount en niet wie van ons het was; zie artikel 7 van de voorwaarden voor wanneer wij het gebruiken en wat het kan.
• Het wachtwoord van het supportaccount wordt versleuteld bewaard in de beheeromgeving, en staat nooit in een document, een bericht of een bestand in de broncode. Wie van ons het daar opvraagt, staat met de tijd erbij in het logboek van de beheeromgeving.

Bijlage B — Subverwerkers

De derde regel geldt alleen bij een overstap, en alleen zolang die loopt: wij mailen een leeg werkblad, de klant mailt het ingevuld terug, en daarna hoort het in zijn eigen omgeving. Wij leggen het bestand niet vast in onze eigen systemen; het mailbericht waarmee de klant het stuurde verwijderen wij zodra de overstap klaar is.

Artikel 14 — Aansprakelijkheid

1. De regeling in artikel 18 van onze algemene voorwaarden geldt ook voor dit stuk.
2. Aansprakelijkheid die rechtstreeks uit de AVG volgt kan daarmee niet worden beperkt, en wordt er dus ook niet door beperkt.

Artikel 15 — Rangorde

Spreekt dit stuk de algemene voorwaarden tegen, dan gaat dit stuk voor voor alles wat over de verwerking van persoonsgegevens gaat. Zo kan een algemene bepaling een afspraak niet uithollen die er juist is om de klant en zijn medewerkers te beschermen.

Ondertekening is niet nodig; zie de kop. Wil de klant er toch een, dan werken wij daaraan mee.