Verwerkersovereenkomst

Versie 1.2 · 14 oktober 2026

Als schildersbedrijf zet je gegevens van je klanten en medewerkers in Schilderplanning. Volgens de privacywet (AVG) ben jij daarvoor verantwoordelijk en verwerken wij die gegevens in jouw opdracht. Deze overeenkomst legt vast wat we daarbij van elkaar mogen verwachten. Hij hoort bij de algemene voorwaarden en geldt vanaf het moment dat je een account aanmaakt; een handtekening is niet nodig.

1. Partijen

1. Verwerkingsverantwoordelijke: het bedrijf dat een account heeft bij Schilderplanning ("jij").
2. Verwerker: B.A. Bor Holding B.V., Sleeuwijksedijk 102, 4251 XE Werkendam, KvK 83148884 ("wij").

2. Wat we verwerken en waarom

1. We verwerken de persoonsgegevens die jij en je gebruikers in Schilderplanning invoeren, uitsluitend om de dienst aan jou te leveren: de planning opslaan en tonen, berichten aan je klanten versturen en hun reactie vastleggen, back-ups maken en je helpen bij vragen.
2. De soorten gegevens, de groepen mensen om wie het gaat en de duur staan in bijlage 1.
3. We gebruiken de gegevens niet voor eigen doelen, verkopen ze niet en geven ze niet door, behalve aan de subverwerkers uit bijlage 3 of als de wet ons daartoe verplicht. In dat laatste geval laten we je dat vooraf weten, tenzij dat wettelijk verboden is.

3. Jouw instructies

1. We verwerken de gegevens alleen op jouw instructie. Je gebruik van de dienst en deze overeenkomst zijn die instructie.
2. Jij staat ervoor in dat je de gegevens mag verwerken en door ons mag laten verwerken, bijvoorbeeld omdat ze nodig zijn om je opdracht voor een klant uit te voeren.
3. Vinden wij dat een instructie in strijd is met de wet, dan zeggen we dat.
4. Schilderplanning is niet bedoeld voor bijzondere persoonsgegevens, zoals gegevens over gezondheid, of voor burgerservicenummers. Zet die er niet in, ook niet in vrije tekstvelden.

4. Geheimhouding

1. We behandelen de gegevens vertrouwelijk.
2. Alleen wie de gegevens nodig heeft om de dienst te leveren of te ondersteunen heeft toegang, en is tot geheimhouding verplicht.
3. We bekijken de inhoud van je planning alleen als dat nodig is om een storing op te lossen of jou op jouw verzoek te helpen.

5. Beveiliging

1. We nemen passende technische en organisatorische maatregelen om de gegevens te beschermen tegen verlies en tegen onbevoegde toegang. De maatregelen staan in bijlage 2.
2. We mogen de maatregelen aanpassen, zolang het niveau van beveiliging niet daalt.
3. Jij zorgt voor een veilig gebruik aan jouw kant: sterke wachtwoorden, een eigen login per gebruiker en het verwijderen van gebruikers die niet meer bij je werken.

6. Subverwerkers

1. Je geeft ons toestemming om de subverwerkers uit bijlage 3 in te schakelen.
2. Willen we een subverwerker toevoegen of vervangen, dan laten we dat minstens 30 dagen van tevoren per e-mail weten. Heb je daar een gegrond bezwaar tegen, dan kun je het abonnement opzeggen tegen de datum waarop de wijziging ingaat.
3. We leggen een subverwerker ten minste dezelfde verplichtingen op als die uit deze overeenkomst, en blijven tegenover jou verantwoordelijk voor wat hij doet.

7. Doorgifte buiten de Europese Economische Ruimte

1. De gegevens in je planning worden opgeslagen in de Europese Unie.
2. We geven geen persoonsgegevens door naar een land buiten de Europese Economische Ruimte, tenzij daar een passend beschermingsniveau geldt of er passende waarborgen zijn afgesproken zoals de AVG die voorschrijft.

8. Verzoeken van betrokkenen

1. Wil een van jouw klanten of medewerkers zijn gegevens inzien, verbeteren of laten verwijderen, dan handel jij dat verzoek af. In Schilderplanning kun je gegevens zelf inzien, aanpassen en verwijderen.
2. Krijgen wij zo'n verzoek rechtstreeks, dan sturen we het door naar jou en beantwoorden we het niet zelf.
3. Kun je een verzoek niet zelf uitvoeren, dan helpen we je daarbij.

9. Datalekken

1. Ontdekken we een inbreuk op de beveiliging waarbij jouw gegevens betrokken zijn of kunnen zijn, dan melden we dat zonder onredelijke vertraging en uiterlijk binnen 48 uur aan de eigenaar van je account, per e-mail.
2. In die melding staat, voor zover we het dan weten: wat er gebeurd is, om welke gegevens en hoeveel mensen het gaat, wat de waarschijnlijke gevolgen zijn en wat we hebben gedaan om de schade te beperken. Wat we later te weten komen, vullen we aan.
3. Of het lek gemeld moet worden bij de Autoriteit Persoonsgegevens en bij de betrokkenen, beoordeel jij. Wij helpen je met de informatie die je daarvoor nodig hebt.

10. Hulp en controle

1. We helpen je, waar dat redelijk is, bij het nakomen van je eigen verplichtingen uit de AVG, zoals een gegevensbeschermingseffectbeoordeling.
2. We geven je op verzoek de informatie die nodig is om te laten zien dat we ons aan deze overeenkomst houden.
3. Je mag dit maximaal één keer per jaar laten controleren door een onafhankelijke deskundige die tot geheimhouding verplicht is, na een aankondiging van minstens 30 dagen en op een manier die de dienst en de gegevens van andere klanten niet in gevaar brengt. De kosten van zo'n controle zijn voor jou, tenzij eruit blijkt dat we ons wezenlijk niet aan deze overeenkomst hebben gehouden.
4. Hulp die verder gaat dan wat van een dienst met deze prijs verwacht mag worden, mogen we in redelijkheid in rekening brengen. Dat spreken we vooraf met je af.

11. Einde van de verwerking

1. Deze overeenkomst geldt zolang je een account hebt, en daarna zolang wij nog gegevens van je bewaren.
2. Na het einde van je abonnement of proefperiode kun je je gegevens nog 90 dagen inzien en ontvang je op verzoek een kopie in een gangbaar bestandsformaat. Daarna verwijderen we het account met alle gegevens, of eerder als je daarom vraagt.
3. Uit de back-ups verdwijnen de gegevens uiterlijk 14 dagen na het verwijderen.
4. Verwijder je zelf een klus, een medewerker of een gebruiker, dan is die direct weg uit de dienst en uiterlijk 14 dagen later uit de back-ups.

12. Aansprakelijkheid en slotbepalingen

1. Voor onze aansprakelijkheid onder deze overeenkomst gelden de beperkingen uit artikel 11 van de algemene voorwaarden, ook voor schade en boetes in verband met de AVG. Ze vallen samen met onze aansprakelijkheid onder die voorwaarden: het maximum geldt voor alles samen, niet per overeenkomst.
2. Spreekt een betrokkene of een toezichthouder ons rechtstreeks aan voor een verwerking die we volgens jouw instructies of deze overeenkomst uitvoerden, dan vrijwaar je ons daarvoor, zoals artikel 12 van de algemene voorwaarden beschrijft.
3. Spreken deze overeenkomst en de algemene voorwaarden elkaar tegen over de verwerking van persoonsgegevens, dan gaat deze overeenkomst voor.
4. We mogen deze overeenkomst aanpassen op dezelfde manier als de algemene voorwaarden. Een wijziging die de bescherming van de gegevens verlaagt, voeren we niet door zonder je de gelegenheid te geven op te zeggen.
5. Nederlands recht is van toepassing. Geschillen worden voorgelegd aan dezelfde rechter als in de algemene voorwaarden.

Bijlage 1. De verwerking

Bijlage 2. Beveiligingsmaatregelen

• Versleutelde verbinding (https) voor al het verkeer met de dienst.
• Wachtwoorden worden alleen als hash opgeslagen. Inlogpogingen zijn begrensd.
• Strikte scheiding per bedrijf: elke opvraging van gegevens is beperkt tot het eigen account.
• Eenmalige, verlopende links voor het herstellen van een wachtwoord en het aannemen van een uitnodiging. Na een wachtwoordwijziging vervallen andere sessies.
• De link waarmee een klant op een bericht reageert is niet te raden en toont geen andere gegevens dan de naam van de klus.
• De dienst draait onder een account met beperkte rechten; de poort van de dienst is van buitenaf afgesloten en alleen via de beveiligde voordeur bereikbaar.
• Toegang tot de server en de database is beperkt tot de beheerder.
• Dagelijkse back-up van de database, 14 dagen bewaard.
• Beveiligingsupdates van de gebruikte software worden bijgehouden.

Bijlage 3. Subverwerkers

Daarnaast haalt de planner in de browser van de gebruiker adressen op bij de PDOK Locatieserver van het Kadaster (Nederland), terwijl de gebruiker een adres typt. PDOK krijgt geen namen of contactgegevens en is geen subverwerker, maar we noemen het voor de volledigheid.

De weersverwachting rekenen we op onze eigen server uit, met openbare weermodellen. Daarvoor gaat alleen een plek naar buiten die is afgerond op ongeveer een kilometer, zonder adres, naam of IP-adres van de gebruiker.