Voorwaarden

Prijs

[Prijs per maand of per jaar, wat erbij hoort, en hoe en wanneer er wordt gefactureerd.]

Looptijd

[Begin, looptijd en verlengen.]

Opzeggen

[Opzegtermijn en hoe je opzegt. Wat er daarna met de gegevens gebeurt, staat in artikel 11 van de verwerkersovereenkomst.]

Beschikbaarheid en support

[Beschikbaarheid, onderhoud, en hoe en wanneer support te bereiken is.]

Aansprakelijkheid

[Grens van de aansprakelijkheid.]

1. Partijen en rollen

De klant is verwerkingsverantwoordelijke. Tenmere is verwerker.

De klant gaat akkoord bij het activeren van de eerste beheerder, of later bij Instellingen, Organisatie. Tenmere legt vast met welke versie, wanneer en door wie.

2. Duur

Deze overeenkomst loopt zolang de hoofdovereenkomst loopt, en daarna tot alle gegevens zijn teruggegeven en gewist (artikel 11).

3. Onderwerp, aard en doel

De verwerker slaat gegevens op en verwerkt ze, zodat de klant verhuur en beheer met Tenmere kan doen. Voor geen ander doel.

4. Gegevens en betrokkenen

Welke gegevens en van wie staat in bijlage 1. De klant zet er geen bijzondere persoonsgegevens en geen burgerservicenummer in.

5. Instructies

De verwerker doet alleen wat de klant vraagt. Het gebruik van de functies van Tenmere geldt als instructie. Vindt de verwerker een instructie in strijd met de AVG, dan meldt hij dat meteen.

6. Geheimhouding

Alleen [namen of rollen] kunnen bij de gegevens. Zij hebben een geheimhoudingsplicht.

Elke export en elke actie uit platformbeheer ziet de klant bij Instellingen, Activiteit als Tenmere support.

7. Beveiliging

De verwerker neemt passende technische en organisatorische maatregelen. Bijlage 2 beschrijft ze.

8. Subverwerkers

De klant geeft algemene toestemming voor de subverwerkers in bijlage 3.

Een nieuwe subverwerker meldt de verwerker [30] dagen vooraf. Heeft de klant bezwaar, dan mag hij de hoofdovereenkomst opzeggen.

De verwerker legt elke subverwerker dezelfde plichten op als in deze overeenkomst.

9. Datalekken

De verwerker meldt een datalek aan de klant zonder onnodige vertraging, uiterlijk [..] uur na ontdekking.

De melding noemt wat er gebeurde, welke soorten gegevens en hoeveel mensen het raakt, de waarschijnlijke gevolgen, de genomen en voorgestelde maatregelen, en een contactpersoon (artikel 33 lid 3 AVG).

De klant beslist over een melding bij de Autoriteit Persoonsgegevens en aan de betrokkenen. De verwerker helpt met de tekst.

De verwerker houdt een register bij van elk datalek, ook als er niet is gemeld. Zijn werkwijze staat in zijn datalekprocedure (docs/DATALEK.md).

10. Hulp

De verwerker helpt de klant bij verzoeken van betrokkenen, met de functies in Tenmere: inzien (Gegevens downloaden bij een huurder of eigenaar), verbeteren (zijn gegevens wijzigen), verwijderen (een huurder of eigenaar die nog niets in de boekhouding heeft: geen contract, factuur of afrekening) en anonimiseren (een oud-huurder of oud-eigenaar bij wie niets meer openstaat).

Bij anonimiseren blijven facturen, betalingen, afrekeningen en contracten voor de fiscale bewaarplicht. Uit de reservekopieën verdwijnen de gegevens uiterlijk na 12 maanden. Zet de verwerker een reservekopie terug, dan voert hij verwijderingen en anonimiseringen van daarna opnieuw uit.

Hij helpt ook bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij vragen van de Autoriteit Persoonsgegevens. Kosten: [open].

11. Einde

Tot het einde kan de klant in Tenmere elke factuur, specificatie en afrekening als pdf downloaden, en lijsten van facturen, betalingen, kosten, contracten en de huurlijst als csv. Na het einde levert de verwerker binnen [..] dagen een volledige export van alle gegevens van de klant: één bestand in het formaat van Tenmere (JSON-regels, ingepakt met gzip) met een beschrijving van alle velden. Het is bedoeld om over te zetten naar andere software. Openen vraagt technische kennis.

Daarna wist de verwerker de gegevens binnen [..] dagen. Uit de reservekopieën verdwijnen ze uiterlijk na 12 maanden. De verwerker bevestigt het wissen schriftelijk.

De klant bewaart zelf zijn facturen zeven jaar (de fiscale bewaarplicht). Na het einde doet Tenmere dat niet meer voor hem.

12. Controle

De verwerker geeft de klant op verzoek zijn beschrijving van de beveiliging (docs/BEVEILIGING.md) en de uitkomst van de laatste herstelproef.

Een audit kan [op kosten van de klant, .. weken vooraf gemeld].

13. Buiten de EU

De gegevens staan in de EU, in Amsterdam. De leverancier van de hosting, DigitalOcean, LLC, is een Amerikaans bedrijf. Doorgifte valt onder [het EU-VS dataprivacykader of de modelbepalingen in de DPA van DigitalOcean].

14. Aansprakelijkheid en recht

Aansprakelijkheid: [volgt de hoofdovereenkomst]. Op deze overeenkomst is Nederlands recht van toepassing.

Bijlage 1. Gegevens en betrokkenen

Betrokkenen:

• Huurders en hun contactpersonen.
• Eigenaren (de opdrachtgevers van een beheerkantoor).
• Medewerkers van de klant.
• Leveranciers.
• Ondertekenaars.

Soorten gegevens:

• Naam, contactpersoon, adres, e-mailadres, telefoonnummer, KvK- en btw-nummer en debiteurnummer.
• IBAN en incassomachtiging.
• Contracten, huur en borg.
• Facturen, aanmaningen en betalingen, ook de naam en rekening van de betaler uit bankbestanden.
• Meldingen met foto's en berichten.
• Documenten die de klant toevoegt.
• Wie welke sleutel heeft.
• Ondertekenverzoeken: naam, e-mailadres, moment en ip-adres van ondertekenen.
• Inloggegevens: e-mailadres, wachtwoord (alleen als onleesbare hash), laatste inlog, en bij een inlogcode per mail het ip-adres van de aanvraag.
• Verzonden e-mail: aan wie, onderwerp en wanneer.
• Activiteit: wie wat wijzigde en wanneer.

Geen bijzondere persoonsgegevens en geen burgerservicenummer.

Bijlage 2. Beveiliging

• Scheiding per organisatie. Elke vraag aan de database gaat via de organisatie van de ingelogde gebruiker. Een geautomatiseerde proef met meerdere organisaties en alle rollen controleert dat niets lekt.
• Versleuteling. Verbindingen via https. Wachtwoorden met scrypt, alleen als hash. Sleutels van koppelingen en toegangscodes met AES-256-GCM. Reservekopieën versleuteld met een sleutel die niet bij DigitalOcean staat.
• Wachtwoordbeleid. Minstens 10 tekens en niet op de lijst van zwakke wachtwoorden, een grens op het aantal pogingen, en sessies die verlopen.
• Tweede stap. Platformbeheer vraagt een code uit een authenticator-app.
• Logs zonder persoonsgegevens. De klant ziet bij Activiteit wie wat deed, ook Tenmere support.
• Vangnet en herstelproef. Elke nacht een versleutelde export buiten DigitalOcean. Het terugzetten wordt geoefend.
• Bewaartermijnen. Tenmere ruimt elke dag op wat over zijn termijn is (bijlage 4).

Bijlage 3. Subverwerkers

Bijlage 4. Bewaartermijnen