Verwerkersovereenkomst

Het installatiebedrijf dat Graad gebruikt is verwerkingsverantwoordelijke; Mand-IT (eenmanszaak), KvK-nummer 84480092 is verwerker. We verwerken persoonsgegevens alleen om Graad te leveren en alleen op uw instructie. De manier waarop u Graad instelt en gebruikt, geldt als die instructie.

• Betrokkenen: uw klanten en hun contactpersonen, melders van storingen en uw medewerkers
• Gegevens: naam, adres, e-mailadres, telefoonnummer, gegevens over installaties en werkzaamheden, afspraken, offertes, factuurverwijzingen, foto's, video's, handtekeningen, verstuurde berichten en auditgegevens

Graad is niet bedoeld voor bijzondere persoonsgegevens, zoals gegevens over gezondheid, of voor het burgerservicenummer. Legt u die niet vast.

Iedereen die namens ons toegang heeft tot de gegevens is tot geheimhouding verplicht. We nemen passende technische en organisatorische maatregelen, waaronder:

• versleutelde verbindingen en versleutelde opslag van geheimen
• scheiding tussen bedrijven in de applicatie, de database en de bestandsopslag
• tweestapsverificatie, verplicht voor beheerders van het platform
• een auditlog van de handelingen in uw bedrijf
• bestanden alleen via kortlevende, ondertekende links

Platformbeheerders van Graad hebben geen toegang tot de gegevens van uw bedrijf.

U geeft toestemming voor de inzet van deze subverwerkers:

• Hetzner Online GmbH: servers en database, in de EU
• Microsoft: opslag van bestanden in Azure Blob Storage (in de EU) en verzending van e-mail via Microsoft 365
• Twilio: verzending van sms- en WhatsApp-berichten
• Upstash: tijdelijke tellers tegen misbruik (rate limiting), met IP-adressen en gebruikers-id's
• Coolify: beheer en uitrol van de servers

Met elke subverwerker maken we afspraken die minstens zo streng zijn als deze. Een nieuwe subverwerker melden we minstens 30 dagen vooraf. U kunt in die tijd bezwaar maken; komen we er samen niet uit, dan kunt u de overeenkomst opzeggen. Koppelt u zelf een eigen mailserver of boekhoudpakket, dan verloopt die verwerking via uw eigen leverancier.

Server, database en bestanden staan in de EU. Microsoft, Twilio en Upstash zijn Amerikaanse bedrijven of dochters daarvan. Komen gegevens daarbij buiten de EU, dan gebeurt dat op basis van het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.

Ontdekken we een inbreuk op de beveiliging die uw gegevens raakt, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking aan de eigenaar van uw account, met wat we weten over de aard, de gevolgen en de genomen maatregelen. U beslist over een melding aan de Autoriteit Persoonsgegevens en aan betrokkenen; wij helpen daarbij.

Verzoeken van betrokkenen, zoals inzage, correctie of verwijdering, handelt u zelf af. Graad heeft daarvoor de export van een klant en het anonimiseren van een klant. Krijgen wij zo'n verzoek rechtstreeks, dan sturen we het naar u door.

We bewaren de gegevens zolang u Graad gebruikt, met de bewaartermijnen uit de privacyverklaring. Aan het einde van de overeenkomst kunt u uw gegevens exporteren. Na een wachttijd van 30 dagen verwijderen we de gegevens van uw bedrijf; het auditlog en het archief daarvan vallen daar niet onder.

U mag nagaan of we ons aan deze overeenkomst houden. We geven u de informatie die daarvoor nodig is. Een audit door een onafhankelijke deskundige stemmen we vooraf af; die is voor uw rekening en hooguit eens per jaar, tenzij er een concrete aanleiding is.

Deze overeenkomst loopt zolang wij persoonsgegevens voor u verwerken.