Verwerkersovereenkomst (DPA)

1. Onderwerp en duur

Onderwerp is de verwerking van persoonsgegevens bij de levering van LogCon als software as a service. De duur komt overeen met de looptijd van de hoofdovereenkomst.

2. Aard en doel van de verwerking

Transportmanagement, AI-ondersteunde opdrachtafhandeling, planning, communicatie met klanten, vervoerders en chauffeurs, documentaanmaak, douanevoorbereiding en facturatie.

3. Gegevenscategorieën en betrokkenen

• Medewerkers van de verwerkingsverantwoordelijke: naam, e-mail, telefoon, rol, taal, inloggegevens
• Chauffeurs (eigen en van onderaannemers): naam, telefoon, taal, kwalificaties, positiegegevens tijdens ritten
• Contactpersonen bij klanten en vervoerders: naam, contactgegevens, communicatie-inhoud
• Opdracht-, document-, douane- en factuurgegevens met persoonsverwijzing

4. Verplichtingen van de verwerker

• Verwerking alleen op gedocumenteerde instructie van de verwerkingsverantwoordelijke
• Geheimhoudingsplicht voor alle bevoegde personen
• Uitvoering van de technische en organisatorische maatregelen (bijlage 1)
• Ondersteuning bij rechten van betrokkenen, gegevensbeschermingseffectbeoordelingen en meldplichten
• Informeren van de verwerkingsverantwoordelijke indien een instructie naar het oordeel van de verwerker in strijd is met het gegevensbeschermingsrecht

5. Subverwerkers

De verwerkingsverantwoordelijke keurt de in bijlage 2 genoemde subverwerkers goed. De verwerker informeert de verwerkingsverantwoordelijke minstens 30 dagen van tevoren over voorgenomen wijzigingen; de verwerkingsverantwoordelijke kan om gegronde gegevensbeschermingsrechtelijke reden bezwaar maken.

6. Technische en organisatorische maatregelen (bijlage 1)

• Toegangscontrole tot gebouwen: EU-datacenter met ISO 27001-certificering, geen fysieke toegang door personeel van de verwerker
• Systeemtoegangscontrole: bcrypt-gehashte wachtwoorden, tweefactorauthenticatie, blokkering na mislukte pogingen, JWT met vervaltijd, API-sleutels alleen als hash opgeslagen
• Gegevenstoegangscontrole: rolgebaseerde rechten, least privilege, platformbrede administratie alleen met in de database geverifieerde bevoegdheid
• Scheidingscontrole: tenant-ID op elke tabel, gescheiden opslagpaden per tenant
• Versleuteling: TLS bij overdracht, AES-256-GCM voor inloggegevens van integraties, schijfversleuteling bij de hostingprovider
• Invoercontrole: auditlog met status voor/na voor wijzigingen en AI-acties
• Doorgiftecontrole: HMAC-ondertekende webhooks, uitgaande e-mails alleen via geconfigureerde servers
• Beschikbaarheid: dagelijkse versleutelde back-ups van database en documenten, met behoud van 7 dagelijkse, 4 wekelijkse en 12 maandelijkse back-ups, versleutelde offsite-kopie bij een tweede provider, gedocumenteerde herstelprocedure, monitoring
• Gegevensbeschermingsbeheer: register van verwerkingsactiviteiten, verwijderingsconcept, incident-responseproces

7. Melding van datalekken

De verwerker meldt inbreuken in verband met persoonsgegevens onverwijld, uiterlijk binnen 24 uur na kennisname, met de gegevens conform art. 33, lid 3 AVG.

8. Controlerechten

De verwerkingsverantwoordelijke kan zich vergewissen van de naleving van deze overeenkomst door inzage in bewijsstukken en rapportages en, na tijdige aankondiging, door controles ter plaatse.

9. Verwijdering en teruggave

Na afloop van het contract stelt de verwerker gedurende 30 dagen een volledige data-export beschikbaar en verwijdert daarna alle gegevens van de verwerkingsverantwoordelijke inclusief kopieën en bevestigt de verwijdering. Wettelijke bewaarplichten blijven onverminderd van kracht; versleutelde back-upkopieën worden overschreven in de reguliere rotatiecyclus, uiterlijk na 12 maanden.

10. Doorgifte aan derde landen

Doorgiften aan derde landen vinden alleen plaats onder de voorwaarden van art. 44 e.v. AVG, in het bijzonder op basis van een adequaatheidsbesluit of standaardcontractbepalingen.

11. AI-transparantie (bijlage 4)

AI-agenten maken voorstellen of voeren – afhankelijk van het door de verwerkingsverantwoordelijke ingestelde autonomieniveau – acties uit. Elke AI-actie wordt gelogd met model, tijdstip, betrouwbaarheidsscore en status voor/na; automatische acties zijn terug te draaien. Klantgegevens worden niet gebruikt om AI-modellen te trainen.

12. Slotbepalingen

Bij tegenstrijdigheden heeft deze overeenkomst voorrang op de hoofdovereenkomst in kwesties van gegevensbescherming. Oostenrijks recht is van toepassing; bevoegde rechtbank is Wien.

Bijlage 2: subverwerkers

Zie de volgende tabel.