Verwerkersovereenkomst

1. Partijen en rollen

Deze overeenkomst geldt tussen BriefVerzenden.nl (eenmanszaak, KvK 42119026), hierna "wij", en de zakelijke klant die een account gebruikt en een koppeling maakt of brieven laat versturen, hierna "de klant".

Voor de persoonsgegevens in de brieven die de klant verstuurt, en voor de gegevens die we op verzoek van de klant uit een gekoppeld pakket halen (zoals het adres van een werknemer uit Nmbrs of AFAS), is de klant verwerkingsverantwoordelijke en zijn wij verwerker in de zin van artikel 28 van de AVG.

Deze overeenkomst gaat voor op onze algemene voorwaarden en privacyverklaring voor zover die over deze verwerking iets anders zeggen.

2. Doel en instructies

We verwerken de gegevens alleen om de brief te maken, te printen en te laten bezorgen die de klant opdraagt, om de klant de status en het bewijs van verzending te tonen, en om de koppeling te laten werken. Het versturen van een brief of het kiezen van een werknemer in een koppeling geldt als instructie van de klant.

We gebruiken de gegevens niet voor eigen doeleinden, niet voor marketing en niet voor het trainen van modellen. Vinden we dat een instructie in strijd is met de AVG, dan laten we dat de klant weten.

3. Welke gegevens

Van de ontvanger: naam, adres, postcode, woonplaats en land, en de inhoud van de brief (PDF) die de klant aanlevert.

Bij HR-koppelingen daarnaast: de lijst met werknemers (nummer en naam), die we alleen tonen en niet opslaan, en het interne id van de gekozen werknemer. We vragen nooit het burgerservicenummer, salaris, contract, verzuim of gezinsgegevens op, en we veranderen niets in het pakket.

Van de klant zelf: e-mailadres, bedrijfsgegevens en de toegangsgegevens van de koppeling (versleuteld).

4. Bewaartermijnen

De PDF van de brief verwijderen we nadat hij is verstuurd, of binnen zeven dagen als er niet is afgerekend.

Bestelgegevens (ontvanger, opties, prijs, status en volglink) bewaren we zolang dat nodig is als bewijs van verzending en voor de wettelijke bewaarplicht van onze administratie.

De werknemerslijst bewaren we niet. Toegangsgegevens van een koppeling bewaren we versleuteld tot de klant ontkoppelt. Een auditregel per handeling (wanneer, welk account, welke handeling, het id van de werknemer, zonder naam of adres) bewaren we twee jaar.

5. Beveiliging

Alle verbindingen lopen via HTTPS. Toegangsgegevens van koppelingen staan versleuteld (AES-256-GCM). Onze functies en opslag draaien in de EU (Frankfurt).

Een HR-koppeling maken kan alleen met een zakelijk account en een inlog van minder dan een uur oud. In onze logbestanden staan geen namen, adressen of documentinhoud. Er komen geen personeelsgegevens in URL's of in analytics.

Alleen wij hebben toegang tot de systemen, en alleen voor zover nodig voor het versturen en voor ondersteuning. We hebben geen ISO 27001- of SOC 2-certificering.

6. Subverwerkers

De klant geeft toestemming voor de volgende subverwerkers. Met elk van hen gelden afspraken die minstens dezelfde bescherming bieden als deze overeenkomst.

Vercel (hosting, functies en opslag, regio Frankfurt); Postbode.nu (printen en aanbieden bij PostNL, Nederland); Pingen (printen en verzenden, Zwitserland, een land met een adequaatheidsbesluit van de Europese Commissie); Stripe (betalingen en factuurgegevens); Resend en Zoho (e-mail, zoals bevestigingen).

Nieuwe of andere subverwerkers kondigen we minstens vier weken vooraf aan op deze pagina en per e-mail aan klanten met een HR-koppeling. De klant kan daartegen bezwaar maken en de koppeling of het account beëindigen.

7. Datalekken

Ontdekken we een inbreuk op de beveiliging die persoonsgegevens van de klant raakt, dan melden we dat zonder onnodige vertraging en uiterlijk binnen 24 uur aan de klant, met wat we weten over de aard, de gevolgen en de maatregelen. Zo kan de klant binnen 72 uur bij de Autoriteit Persoonsgegevens melden.

Lekken toegangsgegevens van een koppeling, dan trekken we die direct in en verwijderen we ze.

8. Rechten van betrokkenen en medewerking

Krijgen we een verzoek van een betrokkene (zoals een werknemer of ontvanger), dan sturen we dat door aan de klant. We helpen de klant redelijkerwijs bij het beantwoorden van zulke verzoeken, bij een DPIA en bij vragen van de toezichthouder.

De klant kan de auditregels van zijn account opvragen via support@briefverzenden.nl.

9. Audit

De klant kan ons vragen aan te tonen dat we deze overeenkomst naleven. We geven daarvoor schriftelijk de gevraagde informatie. Een audit ter plaatse kan na overleg, op kosten van de klant en met een redelijke aankondiging.

10. Einde

Deze overeenkomst loopt zolang we gegevens voor de klant verwerken. Ontkoppelt de klant of beëindigt hij zijn account, dan verwijderen we de toegangsgegevens direct en de overige gegevens volgens de termijnen in artikel 4, tenzij de wet ons verplicht ze langer te bewaren.

11. Aansprakelijkheid en recht

Voor aansprakelijkheid geldt wat in onze algemene voorwaarden staat. Op deze overeenkomst is Nederlands recht van toepassing.