🔐 Verwerkersovereenkomst (DPA)

Onderhoudsboekje — Concept versie 1.0 — [datum]

⚠️ Dit is een concept. Laat het vóór definitief gebruik nakijken door een jurist (AVG/ICT). Het maakt onderdeel uit van de Algemene Voorwaarden.

Deze verwerkersovereenkomst ("Overeenkomst") hoort bij het abonnement tussen:

Verwerkingsverantwoordelijke: de garage/het bedrijf dat een account gebruikt ("Klant").
Verwerker: [Bedrijfsnaam], h.o.d.n. Onderhoudsboekje, KvK [nummer] ("wij").

De Klant bepaalt het doel en de middelen van de verwerking; wij verwerken persoonsgegevens uitsluitend namens de Klant.

1. Onderwerp, aard en doel

Wij verwerken persoonsgegevens om de Dienst te leveren: planning/agenda, klant- en voertuigbeheer, facturatie, communicatie (chat/SMS/e-mail), werkplaats- en voorraadbeheer. De verwerking duurt zolang het abonnement loopt.

2. Soorten persoonsgegevens en betrokkenen

Categorie betrokkenen	Persoonsgegevens
Klanten van de garage (auto-eigenaren)	naam, e-mail, telefoon, adres, kenteken/voertuiggegevens, afspraak- en factuurhistorie, eventuele notities
Medewerkers van de garage	naam, e-mail, rol, gewerkte uren

De Klant verwerkt geen bijzondere persoonsgegevens via de Dienst, tenzij schriftelijk anders overeengekomen.

3. Verplichtingen van de verwerker

Wij verwerken persoonsgegevens uitsluitend op instructie van de Klant (deze Overeenkomst geldt als instructie), tenzij wettelijk anders vereist.
Personen die toegang hebben tot de gegevens zijn tot geheimhouding verplicht.
Wij nemen passende technische en organisatorische beveiligingsmaatregelen (art. 32 AVG): versleutelde verbindingen (HTTPS), toegangsbeperking per rol (RLS), gescheiden geheimen, 2FA op beheeromgevingen, en regelmatige back-ups.
Wij verlenen redelijke bijstand bij verzoeken van betrokkenen (inzage, correctie, verwijdering) en bij beveiligings- en datalek-verplichtingen.
Na afloop verwijderen of retourneren wij de gegevens (zie art. 7), behoudens wettelijke bewaarplicht.
Wij stellen de Klant op verzoek de informatie ter beschikking die nodig is om naleving aan te tonen.

4. Subverwerkers

De Klant geeft algemene toestemming voor het inschakelen van onderstaande subverwerkers. Bij wijziging informeren wij de Klant, die dan bezwaar kan maken.

Subverwerker	Doel	Locatie
Supabase	database & hosting van de applicatiedata	EU
Hostinger	webhosting (front-end)	EU
Mollie B.V.	betalingen / incasso	EU (NL)
Resend	transactionele e-mail	VS — o.b.v. standaardcontractbepalingen (SCC's)
Twilio	SMS-verzending	VS — o.b.v. SCC's
Anthropic	AI bonnen-scan (alleen bij gebruik van die functie)	VS — o.b.v. SCC's

Wij leggen aan subverwerkers dezelfde verplichtingen op als in deze Overeenkomst.

5. Doorgifte buiten de EER

Voor zover gegevens worden doorgegeven aan partijen buiten de EER (bijv. Resend, Twilio, Anthropic in de VS), gebeurt dat op basis van een passend doorgiftemechanisme zoals de standaardcontractbepalingen (SCC's) van de Europese Commissie.

6. Datalekken

Bij een inbreuk op de beveiliging die leidt tot een datalek informeren wij de Klant zonder onredelijke vertraging nadat wij ervan op de hoogte zijn, met de bij ons bekende relevante informatie, zodat de Klant kan voldoen aan diens meldplicht (Autoriteit Persoonsgegevens / betrokkenen).

7. Bewaren en verwijderen

Na beëindiging van het abonnement kan de Klant de gegevens exporteren. Daarna verwijderen wij de gegevens binnen een redelijke termijn (richtlijn: 90 dagen), behalve waar een wettelijke bewaarplicht geldt (bijv. factuurgegevens 7 jaar fiscaal).

8. Aansprakelijkheid

Op deze Overeenkomst is de aansprakelijkheidsregeling uit de Algemene Voorwaarden van toepassing.

9. Toepasselijk recht

Nederlands recht. Geschillen worden voorgelegd aan de bevoegde rechter in het arrondissement waar de verwerker is gevestigd.

Door akkoord te gaan met de Algemene Voorwaarden bij registratie, aanvaardt de Klant ook deze Verwerkersovereenkomst.