Verwerkersovereenkomst

1. Partijen en rollen

De klant (de onderneming met een Modudek-account) is verwerkingsverantwoordelijke. Creative Communication, Koerselsesteenweg 192, 3582 Koersel, ondernemingsnummer BE 0683.857.720, is verwerker. Deze overeenkomst geldt zolang de klant Modudek gebruikt, en daarna tot alle gegevens gewist of teruggegeven zijn.

Geeft de klant een partner (bureau of boekhouder) toegang, dan werkt die partner in opdracht en voor rekening van de klant. De klant beslist over die toegang en kan ze altijd intrekken in Instellingen. Modudek geeft de partner enkel de toegang die de klant toestond (volledig, of enkel facturen en onkosten) en bewaart wat de partner wijzigt in het logboek van de klant.

2. Onderwerp en doel

We verwerken persoonsgegevens alleen om Modudek te leveren zoals de klant het gebruikt: zijn website en webshop tonen, contacten en afspraken bijhouden, mails en nieuwsbrieven versturen en ontvangen, de chat en AI-functies laten werken, offertes, facturen en werkbonnen maken (met online aanvaarden en ondertekenen van offertes), leverbonnen, pakbonnen en retourbonnen maken en laten ondertekenen bij ontvangst, cadeaubonnen en beurtenkaarten/abonnementen verkopen en afboeken, een klantenportaal aanbieden waar de klant van de klant zijn documenten bekijkt en statistieken tonen. We gebruiken de gegevens nooit voor eigen doeleinden en verkopen ze nooit.

3. Soorten gegevens en betrokkenen

Soorten gegevens: identiteits- en contactgegevens (naam, e-mail, telefoon, adres), communicatie (berichten, chatgesprekken, mails), afspraken, bestellingen en facturen, notities, nieuwsbriefvoorkeuren, en technische gegevens (zoals een onherkenbaar gemaakt IP-adres voor beveiliging). Bij verhuur ook reservaties (periode, aantal personen, betalingen) en, als de klant het gastenregister aanzet, de naam, geboortedatum, nationaliteit en het adres van de hoofdgast; die fiches worden automatisch gewist na de bewaartermijn die de klant kiest. Bij offertes ook wanneer de offerte geopend werd, de gekozen opties, de naam en handtekening waarmee de klant van de klant aanvaardt, het tijdstip en een onherkenbaar gemaakt (gehasht) IP-adres als bewijs, vragen en redenen van weigering, en betalingen van een voorschot. Bij cadeaubonnen de naam en het e-mailadres van de koper en eventueel van de ontvanger, een persoonlijke boodschap, het bedrag, het saldo en de afboekingen. Bij beurtenkaarten en abonnementen de naam en het e-mailadres van de houder, het aantal beurten, de geldigheid, de afboekingen (met de afspraak) en de betaalstatus van het abonnement. Bij het klantenportaal het e-mailadres waarmee de klant van de klant inlogt, de tijdstippen van inloglinks en sessies (enkel als versleutelde code bewaard; links worden na een dag gewist, sessies na 30 dagen), en de vragen en gewijzigde gegevens die hij er zelf invult. Bij leveringen ook het leveradres, de naam en handtekening van wie de levering in ontvangst neemt, het tijdstip, een onherkenbaar gemaakt (gehasht) IP-adres en het toestel als bewijs van ontvangst (of de reden waarom zonder handtekening geleverd werd), en foto's van de levering. Die horen bij de boekhoudstukken en worden even lang bewaard.

Betrokkenen: klanten, prospecten, websitebezoekers, nieuwsbriefabonnees en medewerkers van de klant. Bij verhuur ook de gasten van de klant. Bij stockbeheer ook leveranciers en hun contactpersonen (zakelijke contactgegevens en bestelbonnen). Bij leveringen ook wie een levering in ontvangst neemt.

De klant bewaart in Modudek geen bijzondere categorieën van gegevens (zoals gezondheid of strafrechtelijke gegevens), tenzij dat wettelijk toegelaten en voor zijn activiteit nodig is, en dan op eigen verantwoordelijkheid.

4. Instructies van de klant

We verwerken de gegevens alleen volgens de instructies van de klant. Die instructies zijn de instellingen en handelingen in Modudek en deze overeenkomst. Vinden we dat een instructie in strijd is met de wet, dan laten we dat meteen weten. Vraagt een wet of overheid ons gegevens door te geven, dan verwittigen we de klant vooraf, tenzij dat verboden is.

5. Vertrouwelijkheid

Iedereen die bij ons toegang heeft tot de gegevens, is tot geheimhouding verplicht en krijgt alleen toegang voor zover dat nodig is voor zijn taak.

6. Beveiliging

We nemen passende technische en organisatorische maatregelen, onder meer:

• versleutelde verbindingen (https/TLS) en versleutelde opslag bij onze databankleverancier;
• strikte scheiding per klant in de databank (elke klant ziet alleen zijn eigen gegevens);
• verplichte tweestapsverificatie voor alle gebruikers en wachtwoorden die nooit leesbaar bewaard worden;
• een firewall en limieten tegen misbruik en aanvallen;
• back-ups bij onze databankleverancier en een back-upknop voor de klant;
• toegang voor ons team enkel wanneer dat nodig is.

7. Subverwerkers

De klant geeft algemene toestemming om deze subverwerkers in te schakelen:

• Supabase (databank, login, bestanden) – Frankfurt, EU;
• Vercel (hosting en firewall) – wereldwijd netwerk, Amerikaans bedrijf;
• Resend (verzenden en ontvangen van e-mail) – Amerikaans bedrijf, verzending vanuit de EU;
• Stripe (betalingen) – Ierland en VS;
• Anthropic (AI-functies; gebruikt de gegevens niet om modellen te trainen) – VS;
• Hostinger (domeinnamen en DNS) – EU.
• Hostinger Mail (mailboxen die de klant via Modudek neemt).
• CM.com (verzenden van sms- en WhatsApp-berichten, als de klant herinneringen gebruikt) – Nederland, EU; WhatsApp-berichten via Meta Platforms Ireland (WhatsApp Business), met doorgifte volgens het EU-VS-gegevensprivacykader.
• OpenStreetMap Foundation (coördinaten opzoeken van het bedrijfsadres op de website van de klant; geen gegevens van eindklanten) – Verenigd Koninkrijk, adequaatheidsbesluit van de Europese Commissie.

We leggen subverwerkers dezelfde verplichtingen op als in deze overeenkomst. Een nieuwe subverwerker melden we minstens 30 dagen vooraf. De klant kan met reden bezwaar maken; vinden we geen oplossing, dan kan hij het abonnement kosteloos beëindigen.

8. Doorgifte buiten de EU

Gegevens gaan alleen buiten de Europese Economische Ruimte als er een geldige garantie is, zoals een adequaatheidsbesluit (bv. het EU-VS-gegevensprivacykader) of de standaardcontractbepalingen van de Europese Commissie.

9. Rechten van betrokkenen

Vraagt iemand de klant om inzage, verbetering, wissing of een kopie van zijn gegevens, dan helpt Modudek daarbij: de klant kan contacten opzoeken, aanpassen, exporteren en wissen in de app. Komt zo'n verzoek bij ons terecht, dan sturen we het door naar de klant.

Een verzoek om inzage of overdraagbaarheid kan de klant zelf beantwoorden: op de fiche van het contact downloadt een beheerder met de knop “Gegevens exporteren (AVG)” een bestand (JSON) met de gegevens die in de werkruimte over dat contact bewaard worden. Wissen doet de klant door het contact te verwijderen; uitgereikte facturen blijven daarbij bewaard, zoals de boekhoudwetgeving vraagt. Ook leverbonnen en retourbonnen blijven bewaard, met de naam en het adres zoals op de bon.

10. Datalekken

Ontdekken we een inbreuk op de beveiliging die de gegevens van de klant treft, dan melden we dat zonder onnodige vertraging en uiterlijk binnen 48 uur nadat we het vaststelden. We geven de informatie die de klant nodig heeft om zijn eigen meldplicht na te komen (wat er gebeurde, welke gegevens, de gevolgen en de genomen maatregelen) en werken mee aan de oplossing.

11. Bijstand en controle

We helpen de klant, voor zover redelijk, bij een gegevensbeschermingseffectbeoordeling of overleg met de Gegevensbeschermingsautoriteit.

We geven de klant op vraag de informatie die nodig is om aan te tonen dat we deze overeenkomst naleven. Een audit kan eenmaal per jaar, met een redelijke aankondiging van minstens 30 dagen, op kosten van de klant en zonder toegang tot gegevens van andere klanten.

12. Einde van de overeenkomst

Na het einde van het abonnement kan de klant zijn gegevens nog 3 maanden exporteren. Daarna wissen we ze, ook uit de back-ups binnen de gewone bewaartermijn daarvan, behalve wat we wettelijk moeten bewaren.

13. Aansprakelijkheid en rangorde

Voor de aansprakelijkheid gelden de regels van onze algemene voorwaarden. Bij een tegenstrijdigheid over de bescherming van persoonsgegevens gaat deze verwerkersovereenkomst voor op de algemene voorwaarden. Op deze overeenkomst is het Belgisch recht van toepassing.