Verwerkersovereenkomst

Deze overeenkomst is tussen het kantoor met een zakelijk account bij YourDutchTile ("verwerkingsverantwoordelijke", "jullie") en MakeMe (VOF), handelend onder de naam YourDutchTile, Weurtseweg 25, 6541 AM Nijmegen, KvK 42053845 ("verwerker", "wij").

Jullie geven ons persoonsgegevens van kopers en verkopers, zodat wij voor jullie een tegel kunnen tekenen, laten maken en bezorgen. Deze overeenkomst legt vast hoe wij daarmee omgaan, zoals de Algemene verordening gegevensbescherming (AVG) vraagt.

Deze overeenkomst geldt zolang jullie een zakelijk account bij ons hebben, en daarna zolang wij nog gegevens van jullie verwerken. Hij eindigt niet eerder dan de afspraken over verwijdering in artikel 10 zijn nagekomen.

Betrokkenen zijn de kopers en verkopers voor wie jullie een tegel bestellen ("ontvangers"), en de contactpersonen van jullie kantoor.

Het gaat om deze gegevens:

• naam van de ontvanger, zoals op het kaartje;
• adres van de woning en, als jullie dat kiezen, het bezorgadres van de ontvanger;
• een foto van de gevel van de woning;
• de tekst op de tegel en op het kaartje;
• jullie interne dossiernummer en de datum van de sleuteloverdracht;
• naam, e-mailadres en telefoonnummer van jullie contactpersonen.

Bijzondere persoonsgegevens verwerken we niet. Vraag jullie fotograaf om gevelfoto's zonder herkenbare personen en kentekens; staan die er toch op, dan nemen we ze niet over in de tekening.

We verwerken de gegevens alleen om de tegel en het kaartje te tekenen, te laten drukken, te verpakken en te bezorgen, en om de bestelling aan jullie te factureren.

We gebruiken de gegevens niet voor eigen doelen. We nemen geen contact op met ontvangers, sturen ze geen reclame en voegen ze niet toe aan een mailinglijst. Track & trace en vragen over de bestelling gaan naar jullie, niet naar de ontvanger.

We volgen jullie gedocumenteerde instructies; een bestelling in het portaal is zo’n instructie. Vinden we dat een instructie in strijd is met de AVG, dan laten we dat direct weten.

Jullie geven toestemming voor de inzet van deze subverwerkers:

• PrintAPI (Nederland): drukken, verpakken en verzenden van de tegel. Geeft naam en bezorgadres door aan de vervoerder.
• Replicate (Verenigde Staten) en OpenAI (Verenigde Staten), via wie het beeldmodel draait waarmee we de tekening maken: ontvangen de gevelfoto en, als er tekst op de tegel komt, die tekst (meestal straat en huisnummer). Niet de naam van de koper of verkoper.
• Vercel: hosting van het portaal en opslag van foto’s, tekeningen en printbestanden (Vercel Blob).
• Supabase (EU): de database waarin bestellingen staan.
• Resend: verzending van e-mails over bestellingen en facturen.

Waar gegevens buiten de Europese Economische Ruimte worden verwerkt, gebeurt dat op basis van de Standard Contractual Clauses van de Europese Commissie of het EU-VS Data Privacy Framework.

Met elke subverwerker hebben we afspraken die minimaal zo streng zijn als deze overeenkomst. Wijzigen we een subverwerker, dan laten we dat minstens 14 dagen vooraf weten. Jullie kunnen daar met redenen bezwaar tegen maken en in dat geval het account kosteloos opzeggen.

We nemen passende technische en organisatorische maatregelen om de gegevens te beschermen, waaronder:

• versleutelde verbindingen (TLS) voor het portaal, de opslag en de e-mail;
• toegang tot bestellingen alleen voor de mensen die eraan werken, met een persoonlijk account en tweestapsverificatie;
• inloggen in het portaal met een eenmalige link in plaats van een wachtwoord dat kan uitlekken;
• een logboek van wie wat aan een bestelling heeft gedaan.

Iedereen die bij ons de gegevens kan inzien is tot geheimhouding verplicht. We geven gegevens alleen aan derden als dat in deze overeenkomst staat of als de wet ons daartoe verplicht.

Ontdekken we een inbreuk op de beveiliging die gevolgen heeft voor de gegevens van jullie ontvangers, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan jullie contactpersoon.

We geven daarbij alle informatie die jullie nodig hebben om binnen 72 uur een melding bij de Autoriteit Persoonsgegevens te kunnen doen: wat er gebeurd is, welke gegevens en hoeveel betrokkenen het raakt, en welke maatregelen we hebben genomen. Jullie beslissen of er gemeld wordt.

De gevelfoto en de tekening bewaren we tot 90 dagen na bezorging, zodat we een beschadigde tegel opnieuw kunnen maken. Daarna verwijderen we ze.

Naam en adres staan ook op de bestelling en de factuur. Die gegevens bewaren we 7 jaar, omdat de fiscale bewaarplicht dat vraagt, en gebruiken we daarna niet meer.

Eindigt het account, dan verwijderen we binnen 30 dagen alle gegevens van ontvangers, behalve wat we volgens de wet moeten bewaren (artikel 9). Op verzoek sturen we jullie vooraf een overzicht van de bestellingen.

Vragen jullie eerder om verwijdering van een bestelling, dan doen we dat binnen 30 dagen, met dezelfde uitzondering.

Vraagt een ontvanger ons om inzage, correctie of verwijdering, dan sturen we die vraag door naar jullie en helpen we bij het afhandelen.

Jullie kunnen ons vragen aan te tonen dat we deze overeenkomst naleven. We geven daarvoor de informatie die redelijkerwijs nodig is. Een audit door een onafhankelijke deskundige kan maximaal één keer per jaar, na aankondiging, op kosten van jullie.

Voor aansprakelijkheid geldt wat in de algemene voorwaarden zakelijk staat. Bij strijd tussen die voorwaarden en deze overeenkomst gaat deze overeenkomst voor als het om persoonsgegevens gaat.

Op deze overeenkomst is Nederlands recht van toepassing.