Verwerkersovereenkomst

Deze overeenkomst geldt tussen:

• jou als verhuurder en gebruiker van huurbeheer: de verwerkingsverantwoordelijke; en
• [BEDRIJFSNAAM], [RECHTSVORM], [ADRES], KBO [KBO-NUMMER]: de verwerker (“wij”).

Ze voldoet aan artikel 28 van de Algemene Verordening Gegevensbescherming (AVG) en maakt deel uit van de algemene voorwaarden. Je aanvaardt ze samen met die voorwaarden. Voor alles wat over persoonsgegevens gaat, heeft deze overeenkomst voorrang. Begrippen zoals “verwerking”, “betrokkene” en “inbreuk in verband met persoonsgegevens” hebben de betekenis uit de AVG.

We verwerken persoonsgegevens voor jou met één doel: de dienst huurbeheer leveren. Concreet:

• gegevens van huurders, panden en contracten opslaan en tonen;
• banktransacties ophalen via Ponto en die koppelen aan verwachte huurbetalingen;
• herinneringen en aanmaningen in jouw naam en volgens jouw instellingen per e-mail versturen;
• overzichten en exports maken;
• de gegevens beveiligen, back-ups maken en ze wissen wanneer dat moet.

We gebruiken de gegevens nooit voor eigen doeleinden, zoals reclame, en verkopen ze niet.

Deze overeenkomst loopt zolang je account bestaat en daarna zolang wij nog gegevens voor jou bewaren (zie teruggave en verwijdering).

Betrokkenen

• huurders en medehuurders;
• personen die voor een huurder betalen;
• tegenpartijen in de banktransacties van de rekeningen die je koppelt;
• eigenaars die je toevoegt, als het natuurlijke personen zijn.

Gegevens

• identificatie en contact: naam, e-mailadres, gsm-nummer, taal;
• huur: adres van het pand, contractgegevens, huurprijs, kosten, waarborg, vervaldag, gestructureerde mededeling;
• financieel: rekeningnummers, transacties (datum, bedrag, naam tegenpartij, mededeling), betaalstatus en achterstallen;
• communicatie: verzonden herinneringen en aanmaningen;
• van eigenaars: naam, ondernemingsnummer, btw-nummer.

Huurbeheer is niet bedoeld voor bijzondere categorieën van gegevens (art. 9 AVG), gegevens over strafrechtelijke veroordelingen (art. 10 AVG) of het rijksregisternummer. Je voert die niet in.

We verwerken de gegevens alleen op jouw schriftelijke instructies. Die instructies zijn: deze overeenkomst, de algemene voorwaarden en wat je in de app instelt en doet (bijvoorbeeld een huurder toevoegen, een herinnering goedkeuren of gegevens verwijderen).

Moeten we gegevens verwerken omdat het Unierecht of het Belgisch recht ons daartoe verplicht, dan laten we je dat vooraf weten, tenzij die wet dat verbiedt. Vinden we dat een instructie in strijd is met de AVG of andere privacywetgeving, dan zeggen we het je meteen.

Alleen mensen die de gegevens nodig hebben voor hun werk aan huurbeheer krijgen er toegang toe. Ze zijn gebonden aan een geheimhoudingsplicht, contractueel of wettelijk. We bekijken je gegevens alleen als dat nodig is voor de dienst, voor ondersteuning die je vraagt of voor de beveiliging.

We nemen passende technische en organisatorische maatregelen zoals artikel 32 AVG vraagt, rekening houdend met de gevoeligheid van bank- en huurgegevens. De belangrijkste staan in bijlage B. We evalueren ze regelmatig en passen ze aan als dat nodig is. We verlagen het beschermingsniveau niet.

Je geeft ons een algemene toestemming om subverwerkers in te schakelen. De huidige lijst staat in bijlage A.

• Voegen we een subverwerker toe of vervangen we er een, dan laten we je dat minstens 30 dagen vooraf weten. Je kan binnen die termijn met redenen bezwaar maken. Vinden we samen geen oplossing, dan kan je de overeenkomst kosteloos beëindigen voordat de wijziging ingaat.
• Elke subverwerker is via een schriftelijke overeenkomst gebonden aan minstens dezelfde verplichtingen als in deze overeenkomst.
• We blijven tegenover jou volledig aansprakelijk voor de subverwerkers die we inschakelen.

Alle subverwerkers verwerken de gegevens in een Europese regio (zie bijlage A). Een doorgifte naar een land buiten de Europese Economische Ruimte gebeurt alleen met de waarborgen van hoofdstuk V AVG: een adequaatheidsbesluit (zoals het EU-VS Data Privacy Framework voor gecertificeerde ondernemingen) of de standaardcontractbepalingen van de Europese Commissie, met bijkomende maatregelen waar nodig.

Je kan de meeste verzoeken van huurders zelf afhandelen in de app: gegevens aanpassen, verwijderen of exporteren. Lukt dat niet, dan helpen we je binnen een redelijke termijn, zodat je binnen de wettelijke termijn van een maand kan antwoorden.

Krijgen wij rechtstreeks een verzoek van een huurder, dan sturen we het binnen [TERMIJN, bv. 5 werkdagen] naar je door en antwoorden we niet zelf inhoudelijk, tenzij je ons dat vraagt.

We helpen je, rekening houdend met de informatie die we hebben, om je verplichtingen uit de artikelen 32 tot 36 AVG na te komen: beveiliging, het melden van datalekken, een gegevensbeschermingseffectbeoordeling (als die nodig is) en een eventuele voorafgaande raadpleging van de Gegevensbeschermingsautoriteit. [KOSTEN: bepaal of bijstand buiten het gewone gebruik wordt aangerekend.]

Ontdekken we een inbreuk in verband met persoonsgegevens die we voor jou verwerken, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen [TERMIJN, bv. 48] uur nadat we het vastgesteld hebben, per e-mail aan het adres van je account. Zo kan jij binnen 72 uur de Gegevensbeschermingsautoriteit verwittigen als dat nodig is.

We geven je zo snel mogelijk, eventueel in stappen:

• wat er gebeurd is, welke soorten gegevens en ongeveer hoeveel betrokkenen en gegevens het raakt;
• de waarschijnlijke gevolgen;
• welke maatregelen we namen of voorstellen om het lek te stoppen en de gevolgen te beperken;
• een contactpersoon voor meer informatie.

We houden een register bij van alle datalekken, ook als ze geen risico opleveren.

• Tijdens de overeenkomst kan je je gegevens op elk moment exporteren.
• Na het einde van de overeenkomst kan je je gegevens nog 30 dagen exporteren. Daarna wissen we ze uit de actieve database. In back-ups verdwijnen ze na [BACK-UPTERMIJN].
• Verwijder je je account zelf, dan wissen we de gegevens binnen 30 dagen, tenzij een wet ons verplicht om iets langer te bewaren. Dan beveiligen we die gegevens en gebruiken we ze alleen daarvoor.
• Op vraag bevestigen we schriftelijk dat de gegevens gewist zijn.

• We geven je alle informatie die nodig is om aan te tonen dat we deze overeenkomst naleven.
• Je kan een audit of inspectie laten uitvoeren door jezelf of een onafhankelijke auditor die tot geheimhouding verplicht is. Je kondigt die minstens 30 dagen vooraf aan, maximaal één keer per jaar, tenzij er een datalek was of een toezichthouder het vraagt. De audit verstoort de dienst en de gegevens van andere klanten niet.
• Een audit is op jouw kosten, tenzij ze een wezenlijke tekortkoming van onze kant aantoont.
• Waar mogelijk volstaat een recent rapport van een onafhankelijke auditor of certificering.

• Je hebt een rechtsgrond om de gegevens van je huurders te verwerken (meestal de huurovereenkomst, art. 6.1.b AVG).
• Je informeert je huurders dat je huurbeheer gebruikt om betalingen op te volgen en herinneringen te sturen (art. 13 en 14 AVG), bijvoorbeeld in je huurovereenkomst of je eigen privacyverklaring.
• Je voert alleen juiste en noodzakelijke gegevens in en houdt ze actueel.
• Je koppelt bij voorkeur een rekening die je voor de verhuur gebruikt, zodat er zo weinig mogelijk andere transacties meekomen.
• Je behandelt verzoeken van huurders over hun gegevens.

Elke partij is aansprakelijk zoals artikel 82 AVG bepaalt. Voor het overige gelden de regels over aansprakelijkheid uit de algemene voorwaarden, die de rechten van betrokkenen tegenover elk van de partijen niet beperken.

[STATUS BIJ LIVEGANG CONTROLEREN: houd deze lijst gelijk met wat echt in productie draait.]

• Versleuteling van alle verkeer (HTTPS, HSTS) en beveiligingsheaders (o.a. geen inbedding in andere sites).
• Versleuteling van de database at rest bij de hostingpartner; bank-toegangssleutels apart versleuteld met AES-256-GCM.
• Strikte scheiding per account: elke opvraging filtert op de ingelogde verhuurder en controleert eigenaarschap.
• Database niet bereikbaar via de publieke API van de hostingpartner; rijbeveiliging als tweede slot.
• Sessies die bij elke opvraging bij de authenticatieserver worden gecontroleerd; automatisch afmelden na inactiviteit.
• Wachtwoorden van minstens 10 tekens, gehasht opgeslagen; tweestapsverificatie voor gebruikers.
• Logboek van belangrijke handelingen in de app.
• Alleen-lezen toegang tot bankgegevens; geen betaalbevoegdheid.
• Persoonlijke beheerdersaccounts met tweestapsverificatie bij alle leveranciers; toegang volgens het need-to-know-principe.
• Dagelijkse back-ups bij de hostingpartner in de EU.
• Wijzigingen aan de code via versiebeheer en automatische tests.
• Een procedure voor incidenten en datalekken.