Verwerkersovereenkomst

1. Partijen en opdracht

De organisatie die een Cleavo-omgeving registreert is verwerkingsverantwoordelijke. Iventiv, aanbieder van Cleavo, is verwerker voor de gegevens die deze organisatie in de werkomgeving invoert. Deze afspraken zijn onderdeel van de zakelijke gebruiksovereenkomst en gelden zolang Iventiv de gegevens namens de organisatie verwerkt.

2. Onderwerp, aard en doel

Iventiv slaat gegevens op, toont ze aan bevoegde accounts, verwerkt planning en werkregistraties, levert meldingen en ondersteunt export, correctie en verwijdering. Het doel is de uitvoering van de schoonmaak- of glazenwasadministratie van de organisatie. Iventiv verwerkt deze gegevens uitsluitend op gedocumenteerde instructies van de organisatie, waaronder haar gebruik van Cleavo, tenzij een wettelijke verplichting anders vereist. In dat geval informeert Iventiv de organisatie vooraf, tenzij de wet dit verbiedt.

3. Gegevens en betrokkenen

Het betreft medewerkers, leidinggevenden, contactpersonen en klanten. Gegevens kunnen bestaan uit namen, zakelijke contactgegevens, klantadressen, planning, taken, check-in- en eindtijden, werknotities, meldingen, beoordelingen en werkfoto’s. Voer geen medische gegevens, identiteitsdocumenten of andere bijzondere persoonsgegevens in. Iventiv gebruikt de inhoud niet voor advertenties, verkoop van gegevens of eigen profilering.

4. Beveiliging en vertrouwelijkheid

Iventiv past organisatiegebonden toegangscontrole, gehashte wachtwoorden, HTTPS, bescherming van privéfoto’s, beperkte beheerrechten en back-ups met herstelcontrole toe. Gevoelige configuratie en daarvoor bestemde velden zijn versleuteld. Personen met toegang zijn tot vertrouwelijkheid gehouden. De organisatie bepaalt accountrechten, instrueert medewerkers, kiest sterke wachtwoorden en gebruikt waar passend tweestapsverificatie.

5. Subverwerkers en doorgifte

De organisatie verleent algemene toestemming voor subverwerkers die nodig zijn voor de dienst. De huidige hosting- en mailvoorziening is mijn.host. Iventiv blijft verantwoordelijk voor de verplichtingen van haar subverwerkers en maakt passende schriftelijke afspraken. Nieuwe of vervangende subverwerkers worden ten minste 30 dagen vooraf aan de accounteigenaar aangekondigd. De organisatie kan binnen die termijn gemotiveerd bezwaar maken; partijen bespreken een oplossing en zo nodig beëindiging voordat de nieuwe verwerking begint. Doorgifte buiten de EER vindt alleen plaats op gedocumenteerde instructie of met een geldige AVG-grondslag en passende waarborgen.

Mollie verwerkt abonnementsbetalingen in zijn eigen rol. Bij gebruik van adreszoeken, kaarttegels en externe lettertypen ontstaan verzoeken naar PDOK, OpenStreetMap en Google Fonts, zoals uitgelegd in de privacyverklaring. Deze verzoeken kunnen technische gegevens of een zoekadres bevatten.

6. Incidenten

Iventiv informeert de organisatie zonder onredelijke vertraging nadat zij een datalek in de verwerking voor die organisatie vaststelt. De melding bevat voor zover bekend de aard van het incident, betrokken gegevens en personen, waarschijnlijke gevolgen, maatregelen en een contactpunt. Ontbrekende informatie wordt aangevuld zodra die beschikbaar is. Iventiv ondersteunt onderzoek en beperking van gevolgen. De organisatie beoordeelt haar eigen meldplicht aan toezichthouder en betrokkenen.

7. Rechten, ondersteuning en controle

Iventiv helpt de organisatie waar redelijkerwijs nodig met inzage, correctie, verwijdering, beperking, overdraagbaarheid, beveiliging, gegevensbeschermingseffectbeoordelingen en overleg met de toezichthouder. Verzoeken van betrokkenen over werkgegevens worden naar de organisatie geleid. Iventiv stelt informatie beschikbaar om naleving aan te tonen en werkt mee aan proportionele controles door de organisatie of een onafhankelijke, tot vertrouwelijkheid gebonden controleur. De controle mag gegevens van andere organisaties niet blootleggen. Als een instructie volgens Iventiv in strijd is met de AVG, meldt zij dit direct.

8. Einde en teruggave

De organisatie kan vóór afsluiting beschikbare gegevens exporteren en via support aanvullende teruggave of verwijdering vragen. Bij verwijdering van de omgeving geldt een hersteltermijn van 30 dagen. Daarna worden operationele gegevens verwijderd. Automatische dagelijkse back-ups worden na maximaal 14 bewaarde geslaagde snapshots overschreven; tijdelijke releaseback-ups hebben een opruimtermijn van 35 dagen. Een back-up die na verwijdering wordt hersteld, moet de verwijdering opnieuw toepassen voordat de omgeving weer beschikbaar wordt. Gegevens met een wettelijke bewaarplicht blijven uitsluitend voor die verplichting bewaard. Eventuele afzonderlijke hostingback-ups volgen de met de hoster gemaakte afspraken.

9. Contact

Voor instructies, incidenten en privacyvragen: info@cleavo.nl. De zakelijke contactgegevens van Iventiv staan hieronder. Het geregistreerde bedrijf en de vastgelegde documentversie identificeren de overeenkomst; registratie betekent geen toestemming voor automatische betaling.