1. Partijen en toepassing

Deze verwerkersovereenkomst wordt gesloten tussen:

de Klant — de watering, polder of andere organisatie die een Wapobel-account afsluit, hierna de “Verwerkingsverantwoordelijke”; en
FiMar Consulting BV, Schavotstraat 5C, 3130 Begijnendijk, ondernemingsnummer BE 0567.561.351, hierna “Wapobel” of de “Verwerker”.

Deze overeenkomst maakt integraal deel uit van de Algemene Voorwaarden en wordt aanvaard bij de registratie of door het verdere gebruik van Wapobel na de bekendmaking ervan. Bij strijdigheid tussen beide gaat deze verwerkersovereenkomst voor wat de verwerking van persoonsgegevens betreft. Begrippen hebben de betekenis uit de Algemene Verordening Gegevensbescherming (AVG, Verordening (EU) 2016/679).

Wenst de Klant een ondertekend exemplaar of een verwerkersovereenkomst volgens een eigen model, dan kan dat via info@wapobel.be.

2. Onderwerp, aard en doel van de verwerking

De Verwerker stelt het Wapobel-platform ter beschikking voor de enkelvoudige boekhouding, begroting, rekeningen en documenten van de Klant, en haalt op verzoek van de Klant gegevens op bij Billit. De verwerking bestaat uit het opslaan, ordenen, raadplegen, berekenen, exporteren, back-uppen en wissen van de gegevens die de Klant invoert of laat ophalen. De Verwerker verwerkt de gegevens uitsluitend om deze dienst te leveren.

a. Categorieën van betrokkenen

Gebruikers van de Klant; contactpersonen van klanten en leveranciers van de Klant; ingelanden, leden en andere personen die vermeld worden in boekingen, omschrijvingen of facturen.

b. Categorieën van persoonsgegevens

Identificatie- en contactgegevens (naam, adres, e-mailadres, ondernemingsnummer), financiële gegevens (rekeningnummers, bedragen, factuurgegevens, betaalstatus) en vrije omschrijvingen bij boekingen. Wapobel is niet bedoeld voor bijzondere categorieën van persoonsgegevens (art. 9 en 10 AVG); de Klant voert zulke gegevens niet in.

c. Duur

Deze overeenkomst loopt zolang de Verwerker persoonsgegevens voor de Klant verwerkt, ook na het einde van de Algemene Voorwaarden tot de gegevens volgens artikel 10 verwijderd zijn.

3. Instructies

De Verwerker verwerkt de persoonsgegevens enkel op basis van schriftelijke instructies van de Klant. De Algemene Voorwaarden, deze overeenkomst en het gebruik dat de Klant zelf van de functies van Wapobel maakt, gelden als die instructies. Is de Verwerker wettelijk verplicht tot een andere verwerking, dan meldt hij dat vooraf aan de Klant, tenzij de wet dat verbiedt. Is een instructie volgens de Verwerker in strijd met de AVG, dan brengt hij de Klant daarvan onmiddellijk op de hoogte.

4. Vertrouwelijkheid

De Verwerker zorgt ervoor dat iedereen die onder zijn gezag toegang heeft tot de persoonsgegevens, gebonden is door een geheimhoudingsplicht en de gegevens enkel raadpleegt voor zover nodig voor de dienstverlening, ondersteuning of het oplossen van problemen.

5. Beveiliging

De Verwerker neemt passende technische en organisatorische maatregelen volgens artikel 32 AVG, waaronder:

• versleutelde verbinding (https) en beveiligde sessiecookies;
• wachtwoorden enkel als hash opgeslagen en een limiet op aanmeldpogingen;
• logische scheiding van de gegevens per watering en controle op toegangsrechten bij elke aanvraag;
• bescherming tegen CSRF en afgeschermde opslag van gegevensbestanden en configuratie;
• hosting in datacenters binnen de Europese Unie;
• regelmatige back-ups, niet publiek toegankelijk, met een bewaartermijn van maximaal 12 maanden.

De Klant blijft zelf verantwoordelijk voor het vertrouwelijk houden van de toegangsgegevens van zijn gebruikers en voor het beheer van wie toegang krijgt.

6. Subverwerkers

De Klant geeft de Verwerker een algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat in Bijlage 1. De Verwerker meldt een nieuwe of vervangende subverwerker minstens 30 dagen vooraf via e-mail of het nieuwsoverzicht in Wapobel. De Klant kan binnen die termijn gemotiveerd bezwaar maken; komen partijen niet tot een oplossing, dan kan de Klant de overeenkomst kosteloos beëindigen. De Verwerker legt aan elke subverwerker dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de Klant aansprakelijk voor diens nakoming.

Billit is geen subverwerker van Wapobel: de Klant heeft zelf een overeenkomst met Billit en activeert de koppeling met zijn eigen API-sleutel.

7. Doorgifte buiten de EER

De Verwerker geeft geen persoonsgegevens door naar landen buiten de Europese Economische Ruimte zonder voorafgaande schriftelijke toestemming van de Klant en passende waarborgen volgens hoofdstuk V AVG.

8. Bijstand aan de Klant

De Verwerker helpt de Klant, rekening houdend met de aard van de verwerking, bij:

• het beantwoorden van verzoeken van betrokkenen (inzage, verbetering, wissing, beperking, overdraagbaarheid, bezwaar). Verzoeken die de Verwerker rechtstreeks ontvangt, stuurt hij onverwijld door naar de Klant;
• de beveiliging van de verwerking, het melden van datalekken, een eventuele gegevensbeschermingseffectbeoordeling en voorafgaande raadpleging van de toezichthouder (art. 32 tot 36 AVG).

Gegevens kunnen op elk moment door de Klant zelf geraadpleegd, aangepast en geëxporteerd worden (Excel en PDF). Bijstand die verder gaat dan wat redelijk is, kan aan het geldende uurtarief worden aangerekend na voorafgaand akkoord.

9. Inbreuken in verband met persoonsgegevens (datalekken)

De Verwerker meldt een inbreuk op de beveiliging die persoonsgegevens van de Klant treft zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat hij ervan kennis kreeg. De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken categorieën en het geschatte aantal betrokkenen en gegevens, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpersoon. De Verwerker neemt onmiddellijk maatregelen om de gevolgen te beperken en houdt de Klant op de hoogte. Het melden aan de Gegevensbeschermingsautoriteit en aan betrokkenen is de verantwoordelijkheid van de Klant.

10. Einde van de verwerking

Na het einde van de overeenkomst blijven de gegevens één maand beschikbaar zodat de Klant ze kan exporteren. Daarna wist de Verwerker alle persoonsgegevens van de Klant, tenzij een wettelijke verplichting tot bewaring bestaat. Kopieën in back-ups verdwijnen uiterlijk na afloop van de bewaartermijn van de back-ups (maximaal 12 maanden) en worden tot dan niet meer gebruikt, behalve voor herstel na een incident. Op verzoek bevestigt de Verwerker de verwijdering schriftelijk.

11. Informatie en audits

De Verwerker stelt alle informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen. De Klant kan, maximaal één keer per jaar en met een aankondiging van minstens 30 dagen, een audit laten uitvoeren door een onafhankelijke, tot geheimhouding verplichte auditor. De kosten van de audit zijn voor de Klant, tenzij de audit een ernstige tekortkoming van de Verwerker aantoont.

12. Aansprakelijkheid

Elke partij is aansprakelijk volgens artikel 82 AVG. Voor het overige geldt de aansprakelijkheidsregeling van artikel 8 van de Algemene Voorwaarden.

13. Wijzigingen, toepasselijk recht en bevoegde rechtbank

Wijzigingen van deze overeenkomst worden minstens één maand vooraf meegedeeld. Op deze overeenkomst is Belgisch recht van toepassing. Enkel de rechtbank van Leuven is bevoegd bij geschillen.

Bijlage 1 — Subverwerkers